Applebee’s ha corretto una vulnerabilità che consentiva a chiunque di ottenere i dati personali dei clienti registrati. Il problema era stato individuato da Robert Wiggins, ricercatore di cybersecurity based nel Regno Unito e affiliato a What Security, che ha trovato una credenziale per un database interno dentro l’app mobile della catena di ristoranti. La notizia è stata pubblicata solo dopo la conferma che il difetto era stato risolto.
La catena ha confermato giovedì di aver adottato misure per prevenire accessi non autorizzati al database dei clienti. L’app Android interessata era stata scaricata oltre 1 milione di volte su Google Play. La credenziale individuata permetteva l’accesso al database aziendale contenente informazioni personali e dati relativi all’uso degli account.
Wiggins ha utilizzato l’intelligenza artificiale per individuare la chiave nascosta fra migliaia di righe di codice sorgente. La pratica di inserire una password o una chiave privata direttamente nel software, definita hardcoding delle credenziali, è considerata una delle vulnerabilità più gravi: chiunque scarichi l’app può estrarre la chiave e accedere a un sistema remoto come se fosse un utente autorizzato.
“La credenziale hardcoded avrebbe potuto consentire a un attaccante malevolo di modificare i dati dei clienti nel database.” Questa possibilità, secondo Wiggins, si aggiungeva alla lettura delle informazioni personali. Lo stesso ricercatore, inoltre, aveva già individuato in precedenza altre problematiche di sicurezza, fra cui informazioni sensibili o esposte che non avrebbero dovuto essere accessibili al pubblico.
La verifica tecnica è stata completata scaricando e decompilando l’app Android di Applebee’s, così da esaminare il codice sorgente e confermare la presenza della credenziale. È stato inoltre creato un account con dati fittizi: Wiggins ha recuperato dal database le informazioni inserite in quel profilo, dimostrando che i dati erano effettivamente accessibili.
Il database esposto conteneva nomi, indirizzi e-mail, indicazione dell’eventuale verifica dell’e-mail, date di nascita, numeri di telefono e CAP. Fra le informazioni raccolte figuravano anche lo status di veteran, il numero di accessi all’account, la data di creazione dell’account e gli indirizzi IP degli ultimi login. Quest’ultimo dato può consentire di ricavare la posizione approssimativa della persona.
Wiggins non è riuscito a contattare direttamente né Applebee’s né la società madre Dine Brands, perché nessuna delle due offre un canale per segnalare problemi di sicurezza. Il ricercatore ha quindi chiesto aiuto alla testata affinché la questione venisse portata all’attenzione dell’azienda. La pubblicazione è stata trattenuta fino alla conferma della correzione.
Un portavoce di Dine Brands, che non ha fornito il proprio nome, ha dichiarato in una comunicazione inviata per e-mail: “Dine Brands apprezza che TechCrunch e il ricercatore abbiano portato la questione alla sua attenzione.”
“La squadra di sicurezza di Dine Brands ha avviato tempestivamente un’indagine e non ha attualmente trovato prove di accessi non autorizzati.” Alla richiesta di indicare se esistessero log del server consultabili per verificare eventuali accessi al database, oppure se l’azienda disponesse di registrazioni di qualunque tipo, il portavoce non ha fornito una risposta.
“L’indagine è in corso e l’azienda adotterà le misure appropriate in base ai risultati.” Il numero di clienti potenzialmente coinvolti nell’esposizione resta quindi incerto. Wiggins ha spiegato che determinare quanti profili fossero presenti nel database avrebbe richiesto all’intelligenza artificiale di accedere, inutilmente, a un numero potenziale di record corrispondente a tutti i clienti.
Nel 2025, Applebee’s contava almeno 8.5 milioni di clienti iscritti al programma fedeltà. L’azienda non ha tuttavia fornito un numero indicativo delle persone i cui dati personali sarebbero stati esposti dalla vulnerabilità. Non è noto nemmeno per quanto tempo la credenziale sia rimasta presente nell’app.
Sono state inoltre chieste informazioni su un’eventuale notifica ai clienti o alle autorità regolatorie degli Stati Uniti, compreso un eventuale documento da presentare alla U.S. Securities and Exchange Commission, prevista per gli incidenti di cybersecurity materiali che riguardano società quotate. L’azienda non ha risposto a questa domanda né alla richiesta sulla durata del problema. L’articolo verrà aggiornato se Dine Brands o Applebee’s forniranno un riscontro.
