安全研究人员在餐饮连锁品牌Applebee’s的移动应用中发现了一组硬编码的数据库凭据，该凭据可被用于不受限制地访问客户个人数据。这一发现由安全研究人员对外披露，属于独家安全事件。
据披露，问题出在Applebee’s应用中直接嵌入的数据库密码。由于凭据以硬编码形式存在于客户端应用内，攻击者理论上可通过逆向工程等手段提取该密码，进而绕过正常访问控制，直接连接后端数据库并读取其中的客户信息。研究人员未透露受影响数据的具体规模与字段范围，也未说明该凭据对应的数据库是否已做网络层访问限制。
硬编码凭据是移动应用与软件开发中的一类常见安全缺陷。将数据库密码、API密钥等敏感信息写入客户端代码，意味着这些信息会随应用分发给所有用户，一旦应用被反编译即可被提取。此类问题通常源于开发阶段将配置信息直接写入代码而非通过密钥管理服务动态下发，且在代码审查与上线前安全测试中未被识别。
Applebee’s为美国连锁餐饮品牌，其移动应用主要用于点餐、会员积分与订单管理，涉及用户账户、联系方式及消费记录等个人信息。餐饮与零售类应用因用户基数大、数据贴近消费行为，近年来成为数据泄露事件的集中领域。此类事件的影响不仅在于数据本身，还可能涉及各州数据泄露通知义务及监管合规审查。
截至报道时，Applebee’s方面尚未就凭据是否已被撤销、是否检测到异常访问以及是否将通知受影响用户作出公开说明。对于企业而言，该事件再次提示客户端应用中的密钥与凭据管理需要纳入常态化安全审计范围，尤其是在应用迭代频繁、第三方组件较多的场景下。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
