미국의 유명 레스토랑 체인 애플비(Applebee's)의 모바일 앱에서 내부 데이터베이스 접근 비밀번호가 하드코딩(hardcoding)된 채 발견되어, 수백만 명의 고객 개인정보가 유출될 수 있는 심각한 보안 문제가 발생했습니다. 영국 기반의 사이버 보안 연구원 로버트 위긴스(Robert Wiggins)는 AI를 활용해 애플비 안드로이드 앱의 방대한 소스코드에서 이 비밀번호를 찾아냈습니다. 이 비밀번호는 고객 이름, 이메일 주소, 생년월일, 전화번호, 우편번호 등 민감한 정보를 포함한 고객 데이터베이스에 무제한으로 접근할 수 있게 했습니다.
위긴스 연구원은 구글 플레이(Google Play)에서 100만 회 이상 다운로드된 애플비 안드로이드 앱에서 이 취약점을 발견했습니다. 앱 내부에 비밀번호나 개인 키를 직접 저장하는 '하드코딩'은 앱을 사용하는 누구든 해당 키를 추출하여 원격 시스템에 무단으로 로그인할 수 있게 하는 매우 위험한 보안 결함입니다. 테크크런치(TechCrunch)는 위긴스의 발견을 검증하기 위해 직접 앱을 디컴파일(decompile)하여 소스코드를 확인했으며, 더미 계정을 생성해 위긴스가 데이터베이스에서 정보를 검색할 수 있음을 확인했습니다. 유출된 데이터에는 고객의 로그인 횟수, 계정 생성일, 최근 로그인 IP 주소 등 상세한 정보도 포함되어 있었습니다.
이번 사건은 기업들이 고객 데이터를 보호하는 데 있어 기본적인 보안 수칙조차 지키지 못하고 있음을 보여줍니다. 특히, 위긴스 연구원이 애플비나 모회사인 다인 브랜즈(Dine Brands)에 보안 문제를 알릴 수 있는 공식적인 채널이 없었다는 점은 더욱 심각합니다. 테크크런치에 도움을 요청한 후에야 애플비 측에 문제가 전달되었고, 회사는 현재 문제가 해결되었다고 밝혔지만, 얼마나 많은 고객이 영향을 받았는지, 그리고 얼마나 오랫동안 이 취약점이 존재했는지에 대해서는 명확한 답변을 피하고 있습니다. 이는 기업의 투명성과 고객 신뢰에 큰 타격을 줄 수 있으며, 향후 유사한 보안 사고를 예방하기 위한 강력한 조치와 책임감 있는 정보 공개의 중요성을 다시 한번 강조합니다.