Исследователь безопасности нашел уязвимость McDonald's, получив бесплатные наггетсы

«Хотите получить доступ к конфиденциальной информации?» — возможно, это новая версия фразы «Добавить картошку фри?». Исследователь безопасности под псевдонимом «BobDaHacker» рассказал, как он перешел от получения бесплатных наггетсов через мобильное приложение сети быстрого питания к многократному доступу к платформе McDonald's, предназначенной только для сотрудников и франчайзи.

«McDonald's Feel-Good Design Hub — это их центральная платформа для брендовых активов и маркетинговых материалов, используемая командами и агентствами в 120 странах. Раньше она «защищалась» паролем на стороне клиента. Да, на СТОРОНЕ КЛИЕНТА», — сказал BobDaHacker. «После моего сообщения им потребовалось 3 месяца, чтобы внедрить надлежащую систему учетных записей с разными путями входа для сотрудников McDonald's (с использованием их EID/MCID) и внешних партнеров... За исключением того, что оставалась проблема. Все, что мне нужно было сделать, это изменить «login» на «register» в URL», чтобы создать новую учетную запись с доступом к платформе.

Простое создание новой учетной записи приводило к тому, что Feel-Good Design Hub отправлял пароль, связанный с этой учетной записью, в открытом тексте, хотя обществу известно, что так делать нельзя, уже десятилетия. И это была не самая неловкая вещь в процессах безопасности McDonald's, раскрытая в посте BobDaHacker!

«У McDonald's БЫЛ файл security.txt с контактной информацией. Но они удалили его через 2 месяца после добавления. Я нашел его только через Wayback Machine, и к тому времени он устарел. Итак, как сообщать об уязвимостях безопасности корпорации без контакта по безопасности? Я буквально звонил в штаб-квартиру McDonald's и начинал называть случайные имена сотрудников службы безопасности, которых нашел в LinkedIn, — сказал Боб. (Выделение не добавлено.) Горячая линия штаб-квартиры просто просит назвать имя человека, с которым вы хотите связаться. Поэтому я продолжал звонить, называя случайные имена сотрудников безопасности, пока наконец кто-то достаточно важный не перезвонил мне и не дал реальное место для сообщения об этих проблемах».

Боб заявил, что McDonald's, похоже, исправил «большинство уязвимостей», о которых он сообщил, но компания также уволила его друга, который помогал в расследовании некоторых уязвимостей, и «так и не создала надлежащий канал отчетности по безопасности». Учитывая, что другие исследователи, вероятно, сдались бы задолго до Боба, такой подход кажется недальновидным. Необходимость искать в LinkedIn и многократно звонить на горячую линию далека от идеала.

Это уже не первый подобный инцидент с McDonald's. Ранее платформа с доступом к частной информации была защищена паролем «123456». BobDaHacker смог использовать Feel-Good Design Hub для доступа к различным ресурсам — от «высококонфиденциальной и проприетарной» маркетинговой информации до службы, которую можно было использовать для «поиска ЛЮБОГО сотрудника McDonald's по всему миру» и просмотра его адреса электронной почты среди прочего.

Источник: Tomshardware.com