🔍 Contexte

Source : Malwarebytes, publié le 2 novembre 2026. L’article rapporte la découverte et la correction d’une vulnérabilité de type credential hardcodé dans l’application Android de la chaîne de restauration Applebee’s (filiale de Dine Brands).

🛠️ Vecteur de la vulnérabilité

Le chercheur Robert Wiggins a identifié un mot de passe codé en dur (hardcoded credential) directement dans le code ou la configuration de l’application Android d’Applebee’s, avec l’assistance d’un outil d’IA. Ce mot de passe lui a permis d’accéder directement à une base de données clients interne.

📂 Données exposées

La base de données accessible contenait les informations suivantes :

  • Noms, adresses e-mail et statut de vérification de l’e-mail
  • Dates de naissance, numéros de téléphone et codes postaux
  • Statut de vétéran
  • Dates de création de compte et compteurs de connexion
  • Adresses IP des dernières connexions (permettant une géolocalisation approximative)

✅ Vérification et divulgation

TechCrunch a vérifié indépendamment les conclusions de Wiggins en créant un compte fictif, que le chercheur a retrouvé dans la base. Faute de canal de signalement identifiable chez Applebee’s ou Dine Brands, Wiggins a sollicité TechCrunch pour contacter l’entreprise. Applebee’s a confirmé le 29 octobre 2026 avoir corrigé le problème. Dine Brands indique n’avoir trouvé aucune preuve d’accès non autorisé, mais l’enquête est toujours en cours.

📌 Type d’article

Article de presse spécialisée relatant un incident de sécurité (exposition de données) causé par une mauvaise pratique de développement, avec confirmation de correction par l’entreprise concernée.

🧠 TTPs et IOCs détectés

TTP

  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)

🟡 Indice de vérification factuelle : 51/100 (moyenne)

  • ✅ malwarebytes.com — source reconnue (liste interne) (20pts)
  • ✅ 2525 chars — texte partiel (fulltext extrait) (13pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 1 TTP(s) MITRE (8pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.malwarebytes.com/blog/news/2026/11/applebees-customer-data-exposed-by-password-left-in-app