Исследователь кибербезопасности под псевдонимом BobDaHacker рассказал о том, как с безобидного трюка с бесплатной едой в приложении McDonald`s он вышел на уязвимости глобальной корпоративной платформы компании.
По словам специалиста, все началось с простой лазейки в мобильном приложении сети быстрого питания, позволяющей получать бесплатные наггетсы. Однако вскоре он обнаружил критические проблемы безопасности в McDonald`s Feel-Good Design Hub – внутренней системе бренда, которая используется сотрудниками и подрядчиками более чем в 100 странах.
Платформа с глобальным доступом защищалась только клиентским паролем
«Они пытались защитить доступ к конфиденциальным материалам… с помощью пароля на стороне клиента. Я просто изменил login на register в URL и получил полные права на создание новой учетной записи», – отметил BobDaHacker.
Эта система содержала маркетинговые активы, списки сотрудников и даже адреса корпоративной электронной почты. Более того, сервис рассылал пароли в открытом виде, несмотря на то, что такие методы давно признаны небезопасными.
Как связаться с McDonald`s, если у них нет канала для отчетов по безопасности?
Попытка сообщить о проблемах вызвала новые трудности. По словам хакера, файл security.txt с контактами был удален, а прямого способа связаться со службой безопасности не существовало.
«Я звонил на горячую линию и называл имена специалистов по безопасности из LinkedIn, пока кто-то наконец не перезвонил мне», – рассказывает Bob.
Последствия: уязвимости устранены, но один из помощников уволен
McDonald`s позднее исправил большинство проблем, однако, по словам исследователя, компания уволила его друга, помогавшего в процессе. Полноценный канал для отчетов о новых уязвимостях так и не был создан.
