Applebee’s memperbaiki celah di aplikasi Android-nya setelah seorang peneliti keamanan menemukan kata sandi basis data pelanggan tertanam langsung di dalam aplikasi. TechCrunch melaporkan temuan itu pada 30 Oktober 2026. Siapa pun yang mengunduh aplikasi bisa mengekstrak kredensial tersebut dengan alat gratis, lalu membaca data pelanggan.
Data yang terbuka dan cara temuan ini muncul
Peneliti Robert Wiggins dari What Security menemukan kredensial itu pada awal Oktober 2026. Ia memakai AI untuk menyisir ribuan baris kode hasil dekompilasi aplikasi yang sudah diunduh lebih dari satu juta kali di Google Play. TechCrunch kemudian mendekompilasi aplikasi itu sendiri, memastikan kredensialnya berfungsi, dan membuat akun uji untuk membuktikan datanya bisa dibaca.
Data yang terlihat meliputi nama, alamat email beserta status verifikasinya, tanggal lahir, nomor telepon, kode pos, status veteran, jumlah login, tanggal pembuatan akun, dan alamat IP login terakhir. Laporan tidak menyebut data kartu pembayaran. Wiggins menyatakan kredensial itu mungkin juga memungkinkan pengubahan data, tetapi pengujian TechCrunch hanya mencakup pembacaan.
Wiggins tidak bisa melapor langsung karena Applebee’s dan induknya, Dine Brands, tidak punya kanal laporan keamanan. Ia meminta bantuan TechCrunch, yang menahan publikasi sampai perbaikan dikonfirmasi.
Yang belum dijelaskan Applebee’s
Applebee’s mengonfirmasi sudah menutup celah itu. Juru bicara Dine Brands menyebut timnya belum menemukan bukti akses tidak sah, tetapi menolak menjawab apakah ada log server yang bisa dipakai untuk memeriksanya. Perusahaan juga belum menyebut sejak kapan kredensial itu ada di aplikasi, berapa pelanggan terdampak, atau apakah pelanggan dan regulator akan diberi tahu. Program hadiahnya punya sedikitnya 8,5 juta anggota menurut laporan yang dikutip TechCrunch, tetapi angka itu batas bawah jumlah anggota, bukan jumlah korban. Kasus ini tidak memiliki nomor CVE.
Langkah bagi pengguna dan pengembang aplikasi
Pengguna aplikasi Applebee’s perlu waspada terhadap email, SMS, atau telepon yang mengaku dari Applebee’s dan meminta data tambahan. Kombinasi nama, nomor telepon, dan tanggal lahir cukup untuk membuat penipuan terlihat meyakinkan. Pakai kata sandi yang unik untuk akun itu dan perbarui aplikasi lewat Google Play.
Pengembang aplikasi seluler sebaiknya tidak menaruh kredensial basis data di aplikasi klien. Aplikasi cukup memanggil API yang mengautentikasi pengguna, sementara kredensial basis data tetap di server. Obfuscation hanya memperlambat dekompilasi, jadi pindai artefak rilis dengan pemindai rahasia di pipeline CI, sediakan kanal laporan kerentanan, dan cabut kredensial lama di sisi server, karena versi aplikasi lama masih membawa kunci yang sama. Soal rotasi secret setelah kebocoran, kasus Northflank yang meminta pelanggan merotasi semua secret bisa jadi gambaran langkahnya.
Sumber: TechCrunch. Gambar: TechCrunch.