Fuite · · 4 min de lecture
L’application d’Applebee’s contenait un mot de passe qui ouvrait sa base de données clients
Un chercheur a trouvé dans l’application Android d’Applebee’s un mot de passe qui exposait noms, courriels, dates de naissance et téléphones des clients. C’est maintenant corrigé.
Applebee’s a corrigé une faille de sécurité dans son application Android qui permettait à quiconque en avait une copie de lire sa base de données clients. Un chercheur en sécurité a trouvé le problème et TechCrunch l’a confirmé avant d’en parler. L’entreprise dit n’avoir trouvé aucun signe d’utilisation malveillante. Si vous avez un compte Applebee’s, voici ce qui était accessible et ce qu’il vaut la peine de savoir.
Ce qui s’est passé
Selon TechCrunch (en anglais), le chercheur britannique Robert Wiggins a trouvé le mot de passe d’une base de données clients interne dans le code de l’application Android d’Applebee’s, téléchargée plus d’un million de fois sur Google Play. Il s’est servi de l’IA pour l’aider à fouiller le code. Laisser un mot de passe dans une application, c’est ce qu’on appelle coder en dur un identifiant : quiconque télécharge l’application peut l’en extraire et se connecter comme s’il était l’entreprise.
La base de données contenait les noms, adresses courriel, dates de naissance, numéros de téléphone et codes ZIP des clients inscrits. On y trouvait aussi le statut d’ancien combattant, le nombre de connexions de chaque personne, la date de création du compte et l’adresse IP de la dernière connexion, qui peut indiquer un emplacement approximatif. Selon Wiggins, le même mot de passe aurait aussi pu permettre à un attaquant de modifier des fiches clients.
TechCrunch a confirmé la faille en décompilant l’application et en créant un compte de test, que Wiggins a ensuite pu relire dans la base de données. Wiggins n’a pas pu signaler le problème directement, car Applebee’s et sa société mère, Dine Brands, n’offrent aucun moyen de signaler une faille de sécurité, alors il a demandé l’aide de TechCrunch. TechCrunch a attendu que la faille soit corrigée pour publier.
Un porte-parole de Dine Brands a dit que son équipe de sécurité « n’a pour l’instant trouvé aucune preuve d’accès non autorisé » et que son enquête se poursuit. L’entreprise n’a pas voulu dire si elle dispose de journaux qui montreraient qui a consulté la base de données, depuis combien de temps le mot de passe était dans l’application, ni combien de clients étaient exposés. TechCrunch note qu’Applebee’s comptait au moins 8,5 millions de membres de son programme de récompenses l’an dernier, mais ce n’est pas un nombre de personnes touchées.
Ce que ça signifie pour vous
Rien ne confirme que quelqu’un d’autre que le chercheur et TechCrunch a consulté les données. Aucun mot de passe ni aucune donnée de paiement ne figurait parmi les renseignements exposés. Le principal risque, si quelqu’un les a copiées, c’est un message d’arnaque convaincant qui connaît votre nom, votre date de naissance et votre emplacement approximatif.
Ce que vous pouvez faire
- Méfiez-vous des arnaques aux récompenses et aux anniversaires. Faites attention aux messages qui offrent un repas gratuit, des récompenses ou une « offre d’anniversaire » et qui vous demandent de vous connecter par un lien ou de donner vos données de paiement. Ouvrez l’application ou tapez l’adresse vous-même.
- Ne confirmez pas votre date de naissance à des inconnus. Un appel ou un message qui connaît déjà quelques détails sur vous ne prouve pas qu’il vient vraiment de l’entreprise.
- Supprimez les comptes que vous n’utilisez pas. Si vous vous êtes inscrit une fois à l’application d’un restaurant sans jamais y retourner, fermer le compte, c’est une base de données de moins qui garde vos renseignements.
Comment Frame peut aider
Les alias de courriel de Frame vous permettent de donner à chaque application sa propre adresse : un message qui arrive à la mauvaise adresse est un signe facile à repérer d’une arnaque, et vous pouvez mettre en pause un alias qui commence à recevoir du pourriel. Frame tient aussi un catalogue des fuites connues, avec une courte liste de vérification pour chacune. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.
Sources
- TechCrunch, Applebee’s exposed customers’ personal data after leaving database password in app (en anglais), 30 octobre 2026
Les nouveaux articles, par courriel.
Environ une fois par mois. Des notes sur la vie privée en termes simples, rien d’autre. Je ne partage jamais votre adresse.