Applebee’s telah memperbaiki celah keamanan yang memberikan akses kepada siapa saja untuk melihat informasi pribadi pelanggan terdaftar, seperti dilaporkan oleh TechCrunch. Restoran siap saji tersebut mengonfirmasi pada Kamis bahwa mereka telah mengambil tindakan untuk mengatasi masalah keamanan guna mencegah akses tidak sah ke basis data pelanggan.
Penemuan Celah Keamanan oleh Peneliti
Robert Wiggins, seorang peneliti keamanan siber yang berbasis di Inggris dari What Security, menemukan kerentanan tersebut pada awal bulan ini. Wiggins menggunakan kecerdasan buatan untuk membantu menemukan kredensial yang tersembunyi di dalam ribuan baris kode sumber pada aplikasi Android Applebee’s, yang telah diunduh lebih dari satu juta kali di Google Play. Kredensial tersebut memberikan akses ke basis data pelanggan perusahaan.
Penyimpanan kata sandi atau kunci privat di dalam perangkat lunak, yang dikenal sebagai pengkodean keras kredensial, merupakan salah satu jenis kerentanan keamanan paling parah karena siapa pun yang memiliki aplikasi dapat mengekstrak kunci tersebut dan menggunakannya untuk masuk ke sistem jarak jauh. Wiggins mengatakan bahwa kredensial yang tertanam ini juga dapat memungkinkan pihak yang berniat jahat untuk mengubah data pelanggan di dalam basis data.
TechCrunch memverifikasi temuan Wiggins dengan mengunduh dan mendekompilasi aplikasi Android Applebee’s untuk memeriksa kode sumbernya serta mengonfirmasi bahwa aplikasi tersebut memuat kredensial yang terekspos. TechCrunch juga membuat akun Applebee’s dengan data palsu, yang memungkinkan Wiggins mengambil kembali informasi tersebut dari basis data perusahaan.
Data Pelanggan yang Terekspos
Basis data yang terekspos tersebut memuat nama pelanggan, alamat surel, tanggal lahir, nomor telepon, dan kode pos. Data tersebut juga mencakup status veteran, jumlah masuk log pelanggan, waktu pembuatan akun, serta alamat IP dari masuk log terakhir yang dapat digunakan untuk mengetahui perkiraan lokasi seseorang.
Wiggins tidak dapat menghubungi Applebee’s atau perusahaan induknya, Dine Brands, karena keduanya tidak menyediakan sarana untuk melaporkan masalah keamanan, sehingga ia meminta bantuan TechCrunch untuk mengungkap masalah tersebut kepada pihak perusahaan. Seorang juru bicara Dine Brands menyatakan melalui surel pada hari Jumat bahwa tim keamanan mereka segera meluncurkan investigasi dan belum menemukan bukti adanya akses yang tidak sah.
Saat ditanya oleh TechCrunch, juru bicara tersebut enggan membeberkan apakah perusahaan memiliki log peladen yang dapat ditinjau untuk memastikan apakah ada pihak yang mengakses basis data tersebut. Perusahaan menambahkan bahwa investigasi masih berlangsung dan mereka akan mengambil langkah-langkah yang sesuai berdasarkan temuan yang ada.
Belum diketahui berapa banyak pelanggan yang terdampak oleh paparan data tersebut karena Wiggins menyebutkan bahwa untuk mengetahui jumlah pelanggan di dalam basis data, model kecerdasan buatan harus mengakses setiap catatan pelanggan secara tidak perlu. Applebee’s sendiri memiliki setidaknya 8,5 juta pelanggan yang terdaftar dalam program hadiah mereka pada tahun lalu, meskipun perusahaan enggan memberikan angka pasti mengenai jumlah pelanggan yang informasi pribadinya terekspos akibat celah keamanan ini.
TechCrunch sempat menanyakan kepada perusahaan apakah mereka akan memberi tahu para pelanggan atau regulator Amerika Serikat mengenai insiden ini, termasuk apakah mereka akan mengajukan pengungkapan kepada Komisi Sekuritas dan Bursa Amerika Serikat, serta berapa lama kredensial tersebut telah berada di dalam aplikasi Applebee’s, namun pihak perusahaan belum memberikan tanggapan.
