Клиенты McDonalds подверглись риску утечки данных

Доставка McDonalds в Индии допускала утечку данных на протяжении нескольких месяцев. Утечка данных произошла из-за уязвимости в API. Это позволяло просматривать конфиденциальную информацию и делать мошеннические заказы. К настоящему времени риск утечки данных предотвращен. 

Исследователь безопасности Итон Звеаре (Eaton Zveare) из проекта Traceable AI обнаружил серьезную уязвимость в API системы доставки McDelivery компании McDonalds в Индии (районы Запада и Юга).

Из-за уязвимости в системе доставки, которая, по всей видимости принадлежит компании Hardcastle Restaurants, происходила утечка конфиденциальной информации клиентов, включая такие данные, как имена, адреса электронной почты и номера телефонов. У водителей службы доставки были скомпрометированы номера транспортных средств, фотографии профилей и маршруты в режиме реального времени. Кроме того, уязвимость позволяла получать доступ к исполняемым заказам, отслеживать их и перенаправлять по другим адресам. Известно, что какое-то время любой заказ можно было сделать всего за 0,01 доллара. 

Звеаре обнаружил уязвимость в июне 2024, а исправить ее индийскому подразделению McDonalds удалось только в сентябре. На сегодня нет доказательств того, что злоумышленники воспользовались этой ошибкой, то есть фактически ни один клиент не пострадал. 

«Тщательная проверка систем и журналов» показала, что недостатки не привели к утечке данных клиентов, заявила Сулакшна Мукерджи (Sulakshna Mukherjee), представитель McDonald’s India. 

Хотя неизвестно, сколько людей подвергались риску утечки данных, по данным TechCrunch, за три месяца существования уязвимости были скомпрометированы сотни миллионов заказов. Поскольку в мобильном приложении McDelivery на Западе и Юге Индии используется тот же API, что и в веб-сайте компании McDonalds, оно также было подвержено уязвимости. 

На Севере и Востоке Индии локальный McDonalds использует другой сервис доставки заказов, поэтому эти географические районы не пострадали от утечки данных. 

Источник: TechRadar