Telset.id – Applebee’s telah memperbaiki celah keamanan yang memungkinkan siapa pun mengakses informasi pribadi pelanggan terdaftarnya, setelah seorang peneliti menemukan kata sandi untuk database internal di dalam aplikasi mobile Applebee’s. Jaringan restoran populer itu mengonfirmasi pada Kamis bahwa mereka telah mengambil tindakan untuk mengatasi masalah keamanan tersebut guna mencegah akses tidak sah ke database pelanggan mereka.
Perbaikan celah keamanan ini menjadi penting karena menyangkut data pribadi jutaan pelanggan yang terdaftar di program loyalitas Applebee’s. TechCrunch menahan publikasi berita ini hingga bug tersebut dikonfirmasi telah diperbaiki. Robert Wiggins, seorang peneliti keamanan siber yang berbasis di Inggris dari What Security, menemukan kelalaian keamanan tersebut awal bulan ini.
Wiggins bukan orang baru dalam menemukan masalah keamanan, termasuk informasi sensitif yang seharusnya tidak dapat diakses publik. Untuk penemuan terbarunya ini, Wiggins menggunakan AI untuk membantu menemukan kredensial yang terkubur di dalam ribuan baris kode sumber di aplikasi Android Applebee’s, yang memiliki lebih dari satu juta unduhan di Google Play. Kredensial tersebut memungkinkan akses ke database pelanggan perusahaan.
Dampak Hardcoded Credentials pada Keamanan Data
Menyimpan kata sandi atau kunci privat di dalam perangkat lunak, yang dikenal sebagai hardcoding credentials, merupakan salah satu jenis kerentanan keamanan paling parah karena siapa pun yang memiliki aplikasi dapat mengekstrak kunci tersebut dan menggunakannya untuk masuk ke sistem jarak jauh seolah-olah mereka adalah pengguna yang berwenang. Wiggins mengatakan bahwa kredensial yang di-hardcode tersebut juga dapat memungkinkan penyerang jahat untuk memodifikasi data pelanggan di database.
TechCrunch memverifikasi temuan Wiggins dengan mengunduh dan mendekompilasi aplikasi Android Applebee’s untuk memeriksa kode sumbernya dan mengonfirmasi bahwa aplikasi tersebut berisi kredensial yang terekspos. TechCrunch juga membuat akun Applebee’s dengan data akun dummy, yang memungkinkan Wiggins mengambil informasi mereka dari database perusahaan.
Database yang terekspos berisi nama pelanggan, alamat email (termasuk apakah pelanggan memverifikasi email mereka atau tidak), tanggal lahir, nomor telepon, dan kode pos. Data tersebut juga mencakup status veteran, jumlah berapa kali pelanggan telah login, kapan akun mereka dibuat, dan alamat IP dari login terakhir mereka, yang dapat digunakan untuk mengungkap perkiraan lokasi seseorang.
Kasus kebocoran data melalui aplikasi seperti ini bukan pertama kali terjadi. Sebelumnya, Revolut Bocorkan Data nasabahnya ke pihak tak berwenang, menunjukkan bahwa celah keamanan pada platform digital masih menjadi ancaman nyata bagi perlindungan data pengguna.
Baca Juga:
Wiggins tidak dapat memberi tahu Applebee’s atau perusahaan induknya, Dine Brands, karena keduanya tidak memiliki cara untuk melaporkan masalah keamanan. Wiggins meminta bantuan TechCrunch untuk mengungkapkan masalah keamanan tersebut kepada perusahaan.
Juru bicara Dine Brands, yang tidak menyebutkan namanya, mengatakan dalam pernyataan melalui email pada Jumat: “Kami menghargai TechCrunch dan peneliti keamanan karena telah membawa masalah ini ke perhatian kami. Tim keamanan kami segera meluncurkan investigasi dan saat ini belum menemukan bukti akses tidak sah.”
Ketika ditanya oleh TechCrunch, juru bicara tersebut tidak mau mengatakan apakah perusahaan memiliki log server yang dapat mereka tinjau untuk menentukan apakah ada orang yang mengakses database, atau apakah mereka memiliki log sama sekali. “Investigasi kami masih berlangsung, dan kami akan mengambil langkah yang tepat berdasarkan temuan kami,” tambah perusahaan.
Jumlah Pelanggan Terdampak Masih Belum Jelas
Belum jelas berapa banyak pelanggan yang terdampak oleh paparan data tersebut. Wiggins mengatakan bahwa untuk mengetahui jumlah pelanggan di database akan memerlukan model AI untuk mengakses secara tidak perlu berpotensi setiap catatan pelanggan. Applebee’s memiliki setidaknya 8,5 juta pelanggan yang terdaftar dalam program rewards mereka pada tahun lalu, meskipun perusahaan tidak memberikan angka berapa banyak pelanggan yang informasi pribadinya terekspos oleh celah keamanan ini.
TechCrunch menanyakan kepada perusahaan apakah mereka akan memberi tahu pelanggan atau regulator AS tentang insiden tersebut, termasuk apakah mereka akan mengajukan pengungkapan kepada Komisi Sekuritas dan Bursa AS (SEC), sebagaimana yang diwajibkan bagi perusahaan publik untuk insiden keamanan siber yang material. TechCrunch juga menanyakan kepada perusahaan berapa lama kredensial yang terekspos tersebut telah ada di aplikasi Applebee’s, tetapi tidak mendapat respons.
Penggunaan AI dalam menemukan celah keamanan seperti yang dilakukan Wiggins menunjukkan bagaimana teknologi ini dapat dimanfaatkan untuk tujuan positif. Namun, di sisi lain, AI juga dapat menjadi alat serangan seperti yang terlihat dalam kasus PoeLLM Serang 3.400 Server AI dengan sandi puisi di GitHub sebagai kuncinya.
Bagi pengguna yang ingin melindungi privasi data mereka saat mengakses layanan digital, penting untuk memahami risiko kebocoran data yang mungkin terjadi. Salah satu langkah pencegahan yang dapat dilakukan adalah memeriksa kebocoran WebRTC yang dapat Bypass VPN dan mengaktifkan fitur keamanan yang tersedia.
Kasus Applebee’s ini menyoroti pentingnya praktik keamanan yang baik dalam pengembangan aplikasi mobile, terutama yang menyimpan data pelanggan dalam jumlah besar. Hardcoding credentials dalam kode aplikasi merupakan praktik yang seharusnya dihindari karena menciptakan kerentanan serius yang dapat dieksploitasi oleh siapa pun yang memiliki akses ke aplikasi tersebut.
Perusahaan juga perlu memiliki saluran yang jelas untuk menerima laporan masalah keamanan dari peneliti independen, sehingga celah keamanan dapat segera diperbaiki sebelum dieksploitasi oleh pihak yang tidak bertanggung jawab. Investigasi Applebee’s masih berlangsung, dan perusahaan menyatakan akan mengambil langkah yang tepat berdasarkan temuan mereka.
Komentar
Belum ada komentar.