Applebee's uygulamasında veritabanı şifresi açığa çıktı

Applebee's restoranlarının mobil uygulamasında ciddi bir güvenlik açığı tespit edildi. Bir güvenlik araştırmacısı, uygulamanın koduna doğrudan yazılmış (hardcoded) veritabanı şifresini buldu. Bu şifre sayesinde sınırsız erişim sağlanarak müşterilerin kişisel bilgilerine ulaşılabiliyordu.

Hardcoded credential sorunu yazılım geliştirmede sık yapılan bir hatadır. Geliştiriciler test ya da geçici çözüm için kimlik bilgilerini doğrudan koda yerleştirirler, sonra bunu kaldırmayı unuturlar. Üretim ortamına geçen bu kod, uygulamayı decompile eden herkes tarafından okunabilir hale gelir. Applebee's durumunda, şifreyi ele geçiren kişi müşteri adları, e-postalar, telefon numaraları ve sipariş geçmişi gibi hassas verilere erişebiliyordu.

Bu tür açıklar mobil uygulamalarda yaygındır çünkü APK (Android) ve IPA (iOS) dosyaları teknik olarak tersine mühendislik yapılabilir. Şifreler, API anahtarları ve diğer gizli bilgiler kolayca çıkarılabilir. Doğru yöntem, hassas verileri güvenli bir sunucu tarafında saklamak ve uygulamadan sadece gerekli istekleri göndermektir.

Bulguyu ortaya çıkaran araştırma, Applebee's'in sorunu hızlıca kapatmasıyla sonuçlandı. Fakat bu olay, büyük şirketlerin bile temel güvenlik pratiklerini ihmal edebildiğini gösteriyor. Eğer bir uygulama geliştiriyorsan, kimlik bilgilerini asla koda yazma; ortam değişkenleri (environment variables) veya güvenli vault sistemleri kullan. Müşteri verilerini korumak sadece yasal yükümlülük değil, itibar meselesidir.