🍟 จากฟรีนักเก็ตสู่ช่องโหว่ระดับองค์กร – เมื่อ McDonald’s ลืมล็อกประตูดิจิทัล เรื่องเริ่มต้นจากนักวิจัยด้านความปลอดภัยนามว่า “BobDaHacker” ที่แค่อยากได้ McNuggets ฟรีจากแอปของ McDonald’s แต่กลับพบว่าการตรวจสอบคะแนนสะสมทำแค่ฝั่งผู้ใช้ (client-side) ทำให้สามารถปลดล็อกของรางวัลได้แม้ไม่มีคะแนน เมื่อเขาขุดลึกลงไป ก็พบช่องโหว่ใน “Feel-Good Design Hub” ซึ่งเป็นแพลตฟอร์มภายในของ McDonald’s ที่ใช้สำหรับจัดการแบรนด์และสื่อการตลาดในกว่า 120 ประเทศ โดยระบบเดิมใช้รหัสผ่านฝั่งผู้ใช้ในการป้องกันข้อมูลลับ! แม้ McDonald’s จะใช้เวลาถึง 3 เดือนในการแก้ไขระบบให้มีการล็อกอินแบบแยกสำหรับพนักงานและพันธมิตร แต่ Bob พบว่าเพียงแค่เปลี่ยนคำว่า “login” เป็น “register” ใน URL ก็สามารถสร้างบัญชีใหม่และเข้าถึงข้อมูลลับได้ทันที ที่น่าตกใจยิ่งกว่าคือระบบส่งรหัสผ่านแบบ plain-text ทางอีเมล และไม่มีช่องทางรายงานช่องโหว่อย่างเป็นทางการ ทำให้ Bob ต้องโทรไปยังสำนักงานใหญ่และสุ่มชื่อพนักงานจาก LinkedIn เพื่อให้มีคนรับเรื่อง นอกจากนี้ยังพบ API Key ที่รั่ว, ระบบค้นหาที่เปิดเผยข้อมูลพนักงานทั่วโลก, ช่องโหว่ในระบบ GRS ที่เปิดให้ใครก็ได้ inject HTML และแม้แต่แอปทดลองของร้าน CosMc’s ที่สามารถใช้คูปองไม่จำกัดและแก้ไขคำสั่งซื้อได้ตามใจ ✅ ข้อมูลในข่าว ➡️ BobDaHacker พบช่องโหว่จากการตรวจสอบคะแนนสะสมในแอป McDonald’s ที่ทำแค่ฝั่ง client ➡️ ระบบ Feel-Good Design Hub ใช้รหัสผ่านฝั่ง client ในการป้องกันข้อมูลภายใน ➡️ เปลี่ยน “login” เป็น “register” ใน URL สามารถสร้างบัญชีและเข้าถึงข้อมูลลับได้ ➡️ ระบบส่งรหัสผ่านแบบ plain-text ทางอีเมล ซึ่งเป็นแนวปฏิบัติที่ไม่ปลอดภัย ➡️ ไม่มีช่องทางรายงานช่องโหว่อย่างเป็นทางการ ต้องโทรสุ่มชื่อพนักงานจาก LinkedIn ➡️ พบ API Key และ Algolia Index ที่รั่ว ทำให้สามารถส่ง phishing และดูข้อมูลพนักงาน ➡️ ระบบ TRT เปิดให้พนักงานทั่วไปค้นหาอีเมลของผู้บริหารและใช้ฟีเจอร์ “impersonation” ➡️ GRS Panel ไม่มีการยืนยันตัวตน ทำให้สามารถ inject HTML ได้ ➡️ แอป CosMc’s มีช่องโหว่ให้ใช้คูปองไม่จำกัดและแก้ไขคำสั่งซื้อได้ ✅ ข้อมูลเสริมจากภายนอก ➡️ การตรวจสอบฝั่ง client เป็นช่องโหว่พื้นฐานที่ควรหลีกเลี่ยงในระบบที่เกี่ยวข้องกับสิทธิ์หรือรางวัล ➡️ การส่งรหัสผ่านแบบ plain-text ขัดกับมาตรฐานความปลอดภัยสมัยใหม่ เช่น OWASP ➡️ security.txt เป็นมาตรฐานที่ใช้ระบุช่องทางรายงานช่องโหว่ แต่ McDonald’s ลบไฟล์นี้ออก ➡️ การไม่มีช่องทางรายงานที่ชัดเจนทำให้นักวิจัยอาจละทิ้งการแจ้งเตือน ➡️ การใช้ API Key แบบ hardcoded ใน JavaScript เป็นช่องโหว่ที่พบได้บ่อยในเว็บแอป ➡️ การเปิดเผยข้อมูลพนักงานระดับผู้บริหารอาจนำไปสู่ targeted phishing หรือ social engineering https://www.tomshardware.com/tech-industry/cyber-security/prompted-by-free-nuggets-security-researcher-uncovers-staggering-mcdonalds-internal-platform-vulnerability-changing-login-to-register-in-url-prompted-site-to-issue-plain-text-password-for-a-new-account