Applebee's Android Uygulamasına Veritabanı Şifresi Gömülüydü

Applebee's bu hafta ciddi bir güvenlik açığını kapattı: Android uygulamasının içine veritabanı yönetici şifresi gömülüydü. Uygulama Google Play'de 1 milyondan fazla indirmeye sahipti. Yani teorik olarak uygulamayı indiren herkes veritabanına erişim sağlayabilirdi.

Güvenlik araştırmacısı Robert Wiggins, What Security'den, yapay zeka kullanarak uygulamanın kaynak kodunun binlerce satırını taradı ve şifreyi buldu. TechCrunch, açığın kapatıldığından emin olduktan sonra 30 Ekim 2026'de haberi yayınladı. Doğrulamayı da profesyonelce yaptı: uygulamayı indirdi, decompile etti, şifresi gerçekten kodda olduğunu gördü, sahte bir hesap oluşturdu ve Wiggins'in o veriyi veritabanından çekebildiğini izledi.

En tehlikeli tarafı, bu şifrenin çalınmadığı, kimseyi kandırarak elde edilmediği, tahmin edilmediği, sadece uygulama içinde açıkça bulunuyordu. Milyonlarca kullanıcının cihazında indirilen bir dosya içerisinde. Applebee's müşteri bilgileri, e-postalar, sipariş geçmişi gibi on alan türü etkilenmişti.

Bu tür açıklar neden oluşur? Geliştirici takımları bazen test ortamı için kullanılan şifreler, API anahtarları ya da veritabanı bağlantı bilgilerini yanlışlıkla production koduna bırakır. Özellikle mobil uygulamalarda, APK dosyası kolayca decompile edilebilir olduğu için bu risk daha yüksektir. Yapay zeka araçları da bu gözden kaçan detayları bulmayı hızlandırıyor.

Tam raporu Dev.to'da okuyabilirsin. Ders: production'a geçmeden önce kod taraması ve güvenlik denetimi yapılması sadece iyi bir uygulama değil, zorunlu.