レストランチェーンのアプルビーズは、モバイルアプリに内部データベースのパスワードを埋め込んでいたセキュリティ上の脆弱性を修正したと発表しました。この問題により、誰でも登録顧客の個人情報にアクセスできる状態でした。
ポイント
- アプルビーズのAndroidアプリに、顧客データベースへのアクセス権限が埋め込まれていた
- 英国の研究者ロバート・ウィギンズ氏が今月上旬に発見
- 流出した可能性がある情報は氏名、メールアドレス、生年月日、電話番号、郵便番号など
- アプルビーズは問題を修正したが、不正アクセスの証拠は現時点で見つかっていないとしている
- 影響を受けた顧客数は不明
脆弱性の内容
問題は、アプルビーズのAndroidアプリのソースコード内に、データベースのパスワードが埋め込まれていたことです。この手法は「ハードコーディング」と呼ばれ、アプリを入手した誰もがパスワードを抽出し、正規ユーザーになりすまして遠隔システムにログインできるため、最も深刻な脆弱性の一つとされています。
ウィギンズ氏はAIを活用し、数千行のコードから認証情報を発見しました。この認証情報により、同社の顧客データベースにアクセス可能でした。悪意のある攻撃者がデータを改ざんする恐れもあったということです。
流出した可能性のある情報
データベースには、顧客の氏名、メールアドレス（メール認証の有無を含む）、生年月日、電話番号、郵便番号が含まれていました。さらに、退役軍人かどうか、ログイン回数、アカウント作成日時、直近のログインIPアドレスも含まれており、IPアドレスからはおおよその位置情報が特定できる可能性があります。
企業の対応
アプルビーズの親会社であるダインブランズの広報は金曜日、電子メールで「問題を指摘してくれたTechCrunchとセキュリティ研究者に感謝する。セキュリティチームが直ちに調査を開始し、現時点で不正アクセスの証拠は見つかっていない」と述べました。
しかし、同社はデータベースへのアクセスを確認するためのサーバーログがあるかどうかについては明言を避けています。「調査は継続中で、結果に基づき適切な措置を取る」としています。
影響を受けた顧客数は不明です。ウィギンズ氏は、データベース内の顧客数を特定するには、AIモデルが潜在的にすべての顧客記録にアクセスする必要があったと説明しています。アプルビーズのリワードプログラムには少なくとも850万人の顧客が登録していましたが、同社は今回の脆弱性で個人情報が流出した顧客数を明らかにしていません。
TechCrunchは、顧客や米国規制当局への通知、上場企業に義務付けられている米国証券取引委員会（SEC）への開示の有無、認証情報がアプリに埋め込まれていた期間について質問しましたが、回答は得られていません。
