رمز پایگاه داده‌ی مشتریان اپلبیز در اپ اندروید جا مانده بود؛ چرا «شواهد سوءاستفاده نیست» پایان ماجرا نیست؟

زنجیره‌ی رستوران اپلبیز نقص امنیتی‌ای را برطرف کرده که به هر کسی اجازه می‌داد اطلاعات شخصی مشتریان ثبت‌نام‌شده را بخواند. بر پایه‌ی گزارش تک‌کرانچ، یک پژوهشگر امنیتی در اپ اندروید این شرکت رمز یک پایگاه داده‌ی داخلی را پیدا کرد. شرکت می‌گوید فعلاً شواهدی از دسترسی غیرمجاز نیافته، اما درباره‌ی وجود لاگ برای بررسی، تعداد افراد درگیر و اطلاع‌رسانی به مشتریان پاسخ روشنی نداده است.

رمز ورود در اپ؛ کلیدی که هر کسی می‌توانست بیرون بکشد

پرسش اصلی این است که چطور رمز یک پایگاه داده‌ی داخلی به اپی رسید که میلیون‌ها نفر می‌توانند دانلود کنند، و آیا نبود شواهد سوءاستفاده یعنی کسی از آن استفاده نکرده است. طبق گزارش تک‌کرانچ، رابرت ویگینز، پژوهشگر امنیتی بریتانیایی در شرکت What Security، اوایل همین ماه با کمک هوش مصنوعی رمز را میان هزاران خط کد اپ اندروید پیدا کرد. تک‌کرانچ می‌گوید اپ را دانلود و کد آن را باز کرده و حضور رمز را تأیید کرده است.

تک‌کرانچ برای آزمون یک حساب ساختگی با داده‌ی آزمایشی ساخت و ویگینز توانست اطلاعات همان حساب را از پایگاه داده بازیابی کند. بر اساس این گزارش، داده‌ها شامل نام، ایمیل (و وضعیت تأیید آن)، تاریخ تولد، شماره‌ی تلفن، کد پستی، وضعیت کهنه‌سربازی، تعداد ورودها، زمان ایجاد حساب و نشانی IP آخرین ورود بود که می‌تواند محل تقریبی کاربر را نشان دهد.

ویگینز نتوانست به اپلبیز یا Dine Brands گزارش دهد، چون هیچ‌کدام کانال گزارش آسیب‌پذیری نداشتند و از تک‌کرانچ کمک خواست. تک‌کرانچ انتشار را تا تأیید رفع مشکل نگه داشت. سخنگوی شرکت، بدون ذکر نام، گفت تیم امنیتی «فوراً بررسی را آغاز کرد»، فعلاً مدرکی از دسترسی غیرمجاز نیافته و بررسی ادامه دارد.

پیشینه و تاریخچه: «اعتبارنامه‌ی هاردکد» از کجا می‌آید؟

ذخیره‌ی رمز یا کلید در خود نرم‌افزار، که به آن اعتبارنامه‌ی هاردکدشده می‌گویند، ضعفی شناخته‌شده است. فهرست CWE که مؤسسه‌ی MITRE نگه می‌دارد آن را با شناسه‌ی CWE-798 ثبت کرده و می‌نویسد استخراج رمز از فایل باینری معمولاً بسیار ساده است و این خطر برای نرم‌افزارهای سمت کاربر شدیدتر است. دلیل رایج چنین خطاهایی راحتی توسعه است: اگر اپ مستقیم به پایگاه داده وصل شود و لایه‌ی API با احراز هویت هر کاربر در میان نباشد، رمز اتصال در اپ می‌ماند. این توضیح استنباط رونما از سازوکار عمومی این ضعف است و درباره‌ی معماری اپلبیز در منابع خوانده‌شده جزئیاتی نیست.

تازگی ماجرا در ابزار کشف است: ویگینز می‌گوید هوش مصنوعی به او کمک کرد رمز را در میان هزاران خط کد پیدا کند. این به معنای آن نیست که مدل هوش مصنوعی ضعف را ساخته؛ به این معناست که یافتن رمزهای جاافتاده برای پژوهشگران، و به‌طور بالقوه برای مهاجمان، ارزان‌تر شده است (استنباط رونما).

1. اوایل اکتبر ۲۰۲۶ویگینز، به گفته‌ی تک‌کرانچ، رمز را در اپ اندروید اپلبیز پیدا می‌کند. تاریخ دقیق کشف اعلام نشده است.
2. ۱۸ تا ۲۰ اوت ۲۰۲۶ (رخداد جداگانه)Apple American Group، فرانچایزدار بزرگ اپلبیز در آمریکا، پس از هک افشا می‌کند؛ بر پایه‌ی اسناد دادستانی ورمونت که CyberInsider نقل کرده، دست‌کم ۸٬۴۴۷ نفر در ورمونت، رود آیلند و کالیفرنیا مطلع شده‌اند. این رخداد به اپ و پایگاه داده‌ی مشتریان Dine Brands مربوط نیست.
3. پنجشنبه ۲۹ اکتبر ۲۰۲۶ (۷ آبان ۱۴۰۵)اپلبیز رفع مشکل را تأیید می‌کند.
4. جمعه ۳۰ اکتبر ۲۰۲۶ (۸ آبان ۱۴۰۵)تک‌کرانچ گزارش را منتشر می‌کند؛ Dine Brands می‌گوید تحقیق ادامه دارد و فعلاً مدرکی از دسترسی غیرمجاز ندارد.

بازار و سهام

پیامد بازاری مستقیم گزارش نشده است. اپلبیز زیرمجموعه‌ی Dine Brands است که شرکتی بورسی به شمار می‌آید؛ اما در منابع خوانده‌شده تغییر قیمت یا حجم معاملات سهام آن به این رخداد نسبت داده نشده، و رونما عددی بدون منبع نمی‌نویسد. واکنش بازار تأییدنشده است. نکته‌ی قابل رصد، پرسش تک‌کرانچ درباره‌ی گزارش‌دهی به سازمان بورس آمریکا (SEC) است: شرکت‌های بورسی باید رخدادهای سایبری با اثر مادی را افشا کنند و اپلبیز به این پرسش پاسخ نداد. برای دیدن وضعیت بازارها به نقشه بازار رونما و برای سهام به بخش سهام رونما سر بزنید.

تأثیر و راهکارها

تأثیر فنی، امنیتی و حقوقی

داده‌ی افشاشده در گزارش شامل شماره‌ی کارت یا رمز عبور نبود، اما ترکیب نام، ایمیل، تلفن، تاریخ تولد و کد پستی برای فیشینگ و جعل هویت پایه‌ی مناسبی است و نشانی IP آخرین ورود محل تقریبی را لو می‌دهد. این برآورد ریسک استنباط رونما است؛ سوءاستفاده‌ای گزارش نشده. برای صنعت، دو مسئله برجسته است: نبود کانال گزارش آسیب‌پذیری که پژوهشگر را ناچار به رسانه کشاند، و ابهام درباره‌ی لاگ‌ها که مشخص می‌کند شرکت می‌تواند «نبود دسترسی غیرمجاز» را اثبات کند یا نه. رخداد مرتبط دیگر، افزونه‌ی جعلی در بازار Cursor، نشان می‌دهد زنجیره‌ی ابزارهای توسعه هم هدف است. اثر مستندی برای کاربران ایرانی در منابع خوانده‌شده گزارش نشده است.

راهکارها و توصیه‌های عملی

الف) توسعه‌دهندگان، مهندسان و مدیران فنی. اپ موبایل را «محیط نامطمئن» فرض کنید: رمز پایگاه داده را در اپ نگذارید و دسترسی را از طریق API با احراز هویت و مجوزدهی در سمت سرور بدهید. پیش از انتشار، کد و باینری را با ابزار کشف رمز اسکن کنید، رمزهای افشاشده را بچرخانید، لاگ دسترسی پایگاه داده را به‌قدر کافی نگه دارید و یک راه گزارش آسیب‌پذیری (مثلاً فایل security.txt) داشته باشید.

ب) سرمایه‌گذاران و فعالان بازار. این بخش توصیه‌ی خرید یا فروش نیست. موارد قابل رصد: اعلام شرکت درباره‌ی لاگ‌ها و تعداد افراد درگیر، هر ثبت رسمی نزد SEC، اقدام تنظیم‌گران یا دعاوی گروهی. ریسک‌ها شامل هزینه‌ی حقوقی و اعتماد مشتری است؛ اندازه‌ی آن‌ها هنوز معلوم نیست.

ج) کاربران نهایی و کسب‌وکارها. اگر عضو برنامه‌ی پاداش اپلبیز هستید، به ایمیل و پیامک‌هایی که به این رخداد اشاره می‌کنند یا اطلاعات می‌خواهند مشکوک باشید و روی لینک پیام‌ها نزنید؛ اگر رمز حساب را جای دیگر هم استفاده کرده‌اید، آن را عوض کنید. کسب‌وکارهای دارای اپ مشتری باید بررسی کنند چه رمزهایی داخل اپ‌هایشان است.

ضدتحلیل و محدودیت‌ها

قوی‌ترین اعتراض این است که نشانه‌ای از سوءاستفاده وجود ندارد: مشکل پیش از انتشار خبر برطرف شد و شرکت می‌گوید مدرکی از دسترسی غیرمجاز ندارد. اما این گزاره بدون پاسخ درباره‌ی لاگ‌ها چندان اطمینان‌بخش نیست؛ شرکت نگفت لاگ دارد یا نه. همچنین نمی‌دانیم رمز چه مدت در اپ بود. در این گزارش تنها به متن تک‌کرانچ، سند MITRE و گزارش رخداد جداگانه‌ی فرانچایزدار تکیه شده و بیانیه‌ی کامل Dine Brands، نسخه‌ی اپ و لاگ‌ها در دسترس رونما نبود.