Seguramente te hayas comido un Whopper en Burger King, picoteado algo de pollo del Popeye´s o desayunado o merendado en un Tim Hortons (no es para menos porque tienen 30.000 locales en todo el mundo).
Los hackers éticos BobDaHacker y BobTheShoplifter afirman haber hallado vulnerabilidades «catastróficas» en múltiples plataformas alojadas por RBI.
«Su seguridad era tan sólida como un envoltorio de Whopper bajo la lluvia», ha comentado con sarcasmo el blog de BobDaHacker.
Los dos investigadores informaron responsablemente a la compañía de restauración y esta parcheó las fallas tras el aviso. Sin embargo, esta nunca mencionó su trabajo ni reconoció públicamente la investigación.
Cómo lo hicieron
Según el informe, era posible saltarse la validación de correo electrónico al registrarse, generar tokens de acceso mediante una simple mutación en GraphQL sin necesidad de credenciales y aprovechar contraseñas embebidas en HTML que los desarrolladores habían dejado expuestas.
Con estas llaves maestras, los investigadores lograron privilegios de administrador. Así, una vez dentro de sus sistemas los atacantes serían capaces de poseer de ‘superpoderes’ muy inquietantes: podían ver y editar las cuentas de empleados, escuchar las grabaciones de chat de los clientes en el drive-thru, acceder a interfaces de tabletas para tiendas de acceso y control, ordenar equipos de la tienda como tablets o enviar notificaciones a los comercios, entre otras vulnerabiliades.
Una de las partes más preocupantes fue el acceso a grabaciones de audio en los autoservicios, almacenadas en buckets de AWS S3 y vinculadas al entrenamiento de algoritmos de inteligencia artificial que miden la experiencia del cliente y el desempeño del personal.
Esos ficheros contenían conversaciones reales de clientes y empleados, con el consiguiente riesgo de exposición de información personal identificable y posibles implicaciones regulatorias en territorios bajo GDPR u otras normativas de protección de datos.
Acerca del autor
