Por Canuto  

Una contraseña incluida en la aplicación Android de Applebee’s permitió consultar información de clientes en una base de datos. La cadena corrigió la falla, pero no precisó cuántas personas pudieron quedar expuestas ni aclaró si cuenta con registros para determinar si alguien accedió a los datos.
***

  • El investigador Robert Wiggins encontró la credencial dentro del código de la aplicación Android, con apoyo de herramientas de inteligencia artificial.
  • La base expuesta incluía nombres, correos, fechas de nacimiento, teléfonos, códigos postales y otros datos de actividad de las cuentas.
  • Dine Brands dijo que no había encontrado evidencia de accesos no autorizados; no confirmó si dispone de registros para comprobarlo.

Applebee’s corrigió una falla que expuso datos personales de clientes

Una contraseña incluida en la aplicación Android de Applebee’s permitió acceder a información de clientes en una base de datos. La empresa afirma que no encontró indicios de consultas no autorizadas, pero no reveló cuántas personas pudieron quedar expuestas.

Una credencial dentro de la aplicación

Applebee’s corrigió una vulnerabilidad que permitía consultar datos personales de clientes registrados, luego de que el investigador de ciberseguridad Robert Wiggins encontrara una contraseña de una base de datos interna en el código de la aplicación Android. TechCrunch informó sobre el hallazgo el 30 de octubre de 2026, después de esperar a que la compañía confirmara que había atendido el problema. La credencial daba acceso a la base de clientes de la cadena.

Wiggins trabaja en What Security y tiene sede en el Reino Unido. Según el reporte de TechCrunch, descubrió la falla a principios de octubre y usó herramientas de inteligencia artificial para revisar miles de líneas del código fuente de la aplicación. La app superaba el millón de descargas en Google Play, aunque esa cifra no indica cuántas personas tenían una cuenta ni cuántas pudieron verse afectadas.

El investigador encontró la contraseña integrada en el software, una práctica conocida como hardcoding o inclusión fija de credenciales. Cuando una clave queda dentro de una aplicación que se distribuye al público, alguien puede analizar el programa, extraerla y usarla para conectarse a un sistema remoto con los permisos que esa credencial permita. Wiggins advirtió que, además de consultar información, la clave podría haber permitido modificar registros de clientes.

TechCrunch dijo que verificó el hallazgo al descargar y descompilar la aplicación de Android para examinar su código. El medio también creó una cuenta de prueba con datos ficticios y Wiggins logró recuperar esa información desde la base de datos de la compañía. Esa comprobación respalda la existencia de la exposición, pero no establece que terceros hayan consultado registros reales ni permite determinar cuánto tiempo estuvo disponible la credencial.

Qué información quedó al alcance

La base de datos incluía nombres, direcciones de correo electrónico y una indicación de si cada cliente había verificado su dirección. También contenía fechas de nacimiento, números telefónicos y códigos postales, información que puede facilitar la identificación de una persona cuando se combina con otros datos. El reporte no señaló cuántos registros estaban accesibles ni cuánto tiempo pudo mantenerse el acceso.

Entre los campos también aparecían el estatus de veterano, la cantidad de veces que cada persona había iniciado sesión y la fecha de creación de su cuenta. La información reunía, por tanto, tanto datos personales como detalles sobre la actividad de los usuarios en el servicio. La exposición de esos elementos puede elevar el riesgo de que alguien intente suplantar a un cliente o elaborar mensajes engañosos, aunque la fuente no informó que eso haya ocurrido.

La base contenía además las direcciones IP de los inicios de sesión más recientes. Una dirección IP puede aportar indicios sobre la ubicación aproximada desde la que se conectó una persona, pero no equivale por sí sola a una dirección física precisa. La presencia de esos registros añade una dimensión de privacidad al incidente, en especial porque los clientes quizá no sepan qué información de actividad conserva la empresa.

Applebee’s contaba con al menos 8,5 millones de clientes inscritos en su programa de recompensas el año anterior, de acuerdo con una cifra citada por TechCrunch. Ese dato muestra la escala potencial del servicio, pero no permite calcular cuántos registros estaban en la base expuesta ni cuántos correspondían a personas afectadas. La compañía no ofreció una cifra de clientes involucrados y Wiggins evitó intentar contarlos para no consultar innecesariamente cada registro.

La respuesta de Dine Brands y las preguntas pendientes

La matriz de Applebee’s, Dine Brands, confirmó que su equipo de seguridad investigó el problema y actuó para corregirlo. En una declaración enviada por correo electrónico, un portavoz agradeció al medio y al investigador por informar sobre el caso y dijo que la investigación no había encontrado evidencia de acceso no autorizado. La empresa añadió que tomaría las medidas apropiadas según los resultados de su revisión.

Sin embargo, Dine Brands no aclaró si conserva registros de servidor que le permitan comprobar si alguien consultó la base de datos. Cuando TechCrunch preguntó por esos registros, el portavoz tampoco confirmó si existen. La ausencia de esa respuesta deja sin resolver una cuestión central: que la compañía no haya encontrado evidencia de acceso indebido no demuestra por sí misma que pueda descartar que haya ocurrido.

Wiggins dijo que no pudo notificar directamente a Applebee’s ni a Dine Brands porque no encontró canales para reportar vulnerabilidades de seguridad. Por esa razón pidió ayuda a TechCrunch para comunicar el problema a la empresa. El episodio pone en evidencia la importancia de contar con vías claras para que investigadores externos informen fallas, aunque la fuente no detalló si las compañías crearán o modificarán esos canales tras el incidente.

El medio preguntó si Applebee’s informaría a los clientes o a los reguladores de Estados Unidos, y si presentaría una divulgación ante la Comisión de Bolsa y Valores de ese país en caso de que el incidente fuera material. También consultó cuánto tiempo llevaba expuesta la credencial en la aplicación. Dine Brands no respondió esas preguntas en la información publicada, por lo que siguen pendientes tanto el alcance temporal como las decisiones sobre notificaciones.

La empresa dijo que su investigación continuaba y que todavía no había encontrado evidencia de acceso no autorizado, pero no comunicó el tamaño de una posible exposición ni qué registros podría revisar. Hasta que Dine Brands ofrezca más detalles, no es posible confirmar si alguien ajeno a la compañía usó la credencial o cuántos clientes quedaron involucrados. TechCrunch indicó que actualizaría su reporte si recibía nuevas respuestas.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados