Applebee’s corrigió una vulnerabilidad en su aplicación móvil para Android que podía permitir el acceso a información personal de sus clientes. El problema se debía a credenciales de base de datos incluidas directamente en el código de la aplicación, una práctica conocida como «credenciales codificadas» o *hardcodeadas*.
El investigador de seguridad Robert Wiggins, de What Security, detectó la falla al analizar el código fuente de la aplicación con ayuda de herramientas de inteligencia artificial. Según la información reportada, la base de datos contenía nombres, direcciones de correo electrónico —verificadas y no verificadas—, fechas de nacimiento, números de teléfono, códigos postales, condición de veterano, número de inicios de sesión, fechas de creación de cuentas y la dirección IP de la sesión más reciente.
No se ha informado cuántas personas pudieron quedar expuestas. La aplicación supera el millón de descargas en Google Play, aunque esa cifra no permite determinar cuántas cuentas ni qué cantidad de datos estuvieron en riesgo.
## La falla fue verificada y corregida
Wiggins señaló que no encontró una vía para reportar el problema directamente a Applebee’s o a su empresa matriz, Dine Brands, y por ello contactó a *TechCrunch*. El medio verificó que las credenciales permitían acceder a la base de datos y modificar registros. También creó una entrada de prueba que, según el reporte, el investigador pudo recuperar posteriormente.
Tras ser contactada, Dine Brands corrigió la vulnerabilidad. La empresa declaró que su equipo de seguridad inició una investigación y que, hasta el momento de su respuesta, no había encontrado indicios de acceso no autorizado. Añadió que la investigación seguía en curso y que tomaría las medidas correspondientes según sus resultados.
A la fecha de la información disponible, Applebee’s no había notificado públicamente a sus clientes ni divulgado el incidente en su sitio web o en sus canales sociales. Tampoco se habían reportado pruebas de que actores maliciosos hubieran extraído los datos o los hubieran publicado en la web oscura. La ausencia de indicios conocidos, sin embargo, no equivale a una confirmación de que la información nunca se consultó.
## Un error recurrente en el desarrollo de software
Las credenciales codificadas pueden aparecer cuando los equipos de desarrollo incorporan temporalmente contraseñas, claves de API u otros secretos al código para facilitar pruebas o conexiones. Si no se eliminan antes del lanzamiento, esos datos pueden quedar accesibles para cualquiera que examine la aplicación y, en algunos casos, permitir el acceso a sistemas o bases de datos.
El problema no se limita a las aplicaciones móviles. En marzo de 2025, investigadores de Cybernews analizaron más de 156.000 aplicaciones para iOS y encontraron más de 815.000 secretos codificados. El término incluye no solo contraseñas, sino también claves de API y de cifrado. Según el estudio, el código de una aplicación promedio exponía 5,2 secretos y el 71 % de las aplicaciones analizadas filtraba al menos uno.
También se han documentado fallas similares en productos y servicios empresariales. En 2025, HPE corrigió un problema relacionado con contraseñas codificadas en puntos de acceso Aruba Instant On, mientras que se identificó una vulnerabilidad comparable en la plataforma Unified CM de Cisco. En febrero de 2026, se informó que actores vinculados al Estado chino habían aprovechado credenciales codificadas en RecoverPoint for Virtual Machines, de Dell.
El caso de Applebee’s vuelve a poner de relieve la importancia de revisar el código antes de publicar una aplicación, evitar que los secretos se almacenen en el cliente y rotar de inmediato cualquier credencial que haya quedado expuesta. También subraya el valor de contar con canales de divulgación de vulnerabilidades claros para que investigadores y empresas puedan reportar y resolver estos problemas con rapidez.
from Latest from TechRadar https://ift.tt/GqPA7FK
via IFTTT IA
