把自家金库的钥匙贴在店门口，还指望没人看见——美国餐饮连锁品牌 Applebee’s 刚刚干了这么一件事。英国安全机构 What Security 的研究员 Robert Wiggins 利用 AI 工具扫描了 Google Play 下载量超 100万次 的 Applebee’s 安卓应用，从数千行反编译源代码中揪出了一个硬编码密码。任何人拿到这串凭证，都能直接读写甚至篡改其内部客户数据库。截至 2025 年第一季度，Club Applebee’s 忠诚度计划拥有至少 850万名会员；母公司 Dine Brands 虽然在 10 月 30 日前修复了漏洞，却连一个接收安全漏洞报告的邮箱都没有，更答不出这把钥匙到底在外面挂了多久。
这场事故戳破了传统连锁餐饮数字化转型的体面。过去藏在几千行混淆代码里的数据库凭证，靠人工审计犹如大海捞针，如今在 AI 自动化代码筛查面前只需几秒就会原形毕露；而手握海量用户画像的餐饮总部，其安全防御和合规披露机制还停留在石器时代。
藏在百万下载量应用里的万能钥匙与 AI 降维筛查
在客户端代码里直接写死密码或私钥（即硬编码凭证），是软件工程里最基础也最致命的低级失误。任何懂一点技术的人下载应用、反编译安装包，就能提取密钥直连后端服务器，系统会将其视为合法的内部请求。
TechCrunch 在 10 月 30 日披露前验证了这个漏洞。记者创建一个测试账号后，Wiggins 直接从后台数据库中调取了该账号的完整记录。暴露的字段远超普通点餐信息，不仅包含客户姓名、邮箱及验证状态、生日、电话号码、邮政编码，还记录了账户创建时间、登录次数、最近登录 IP 地址（可用于反推用户大致物理位置），以及极具美国本土特色的退伍军人身份。更危险的是，这串凭证带有写入权限，恶意攻击者随时可以篡改库内数据。
Wiggins 并不是第一次抓到这类把柄，他早在 2018 年 5 月就曾发现青少年监控应用 TeenSafe 的 AWS 服务器未设密码，导致约 1.02 万条含明文 Apple ID 密码的记录暴露。但这一次的危险之处在于工具变了。
过去许多开发团队心存侥幸，认为把凭证埋在几千行反编译代码里，外人很难凭肉眼翻出来。现在生成式 AI 彻底打破了这种攻防不对称。2025 年底的一项安全研究抽检了 38,630 款安卓 AI 相关应用，发现高达 72% 的应用 至少包含一个硬编码密钥；此前 Pic Stitch 等知名安卓应用也曾被曝出硬编码 AWS 读写凭证。当白帽黑客和黑产同时用上 AI 批量扫代码时，那些带着历史遗留硬编码上线的商业应用，相当于在自动化雷达下裸奔。
- 提醒.曾在 Applebee’s 注册尤其是登记过退伍军人优惠的用户，其姓名、电话、生日与近期 IP 已具备极高的精准社工诈骗价值，需高度警惕冒充官方或退伍军人事务机构的定向钓鱼邮件与短信。
没发现证据还是没日志可查：上市餐企的合规太极
比漏洞本身更荒诞的，是漏洞被发现后的通报过程。Wiggins 找到这枚重磅炸弹后，发现无论是 Applebee’s 还是其上市母公司 Dine Brands，官网上都找不到任何安全漏洞报告通道（VDP），最终只能求助科技媒体代为传话。
这在传统餐饮巨头里并非孤例。2024 年 7 月，另一名安全研究员 Eaton Zveare 发现麦当劳印度（McDelivery）存在严重的 API 越权漏洞，可随意查看订单、骑手位置甚至篡改商品价格。麦当劳虽然设有漏洞赏金计划，却只给了 240美元 亚马逊礼品卡打发了事，还在条款中严词警告未经书面批准不得公开，否则将采取法律行动。一边是连收信箱都不建的鸵鸟心态，一边是把白帽当麻烦的防御姿态，餐饮巨头对外部安全研究的排斥如出一辙。
不留日志，就永远不会发现被黑的证据。
面对质询，Dine Brands 发言人在周五的声明中给出了一句标准公关辞令：“我们的安全团队迅速展开了调查，目前未发现任何未经授权访问的证据。”但当记者追问公司“是否拥有可供审查的服务器日志”时，发言人拒绝回答；对于凭证在应用里留存了多久、究竟有多少客户受影响，同样保持沉默。
这种含糊其辞背后藏着精明的法律算计。翻看公开监管记录可以发现，2026 年 Applebee’s 体系其实经历了双重安全危机。就在今年 4 月 8 日至 9 日，Applebee’s 最大的特许经营商 Apple American Group 刚遭遇过一起严重的数据泄露，并于 8 月 18 日向监管机构发出通知，总计导致 282,573人（主要是现任及前任员工）的社会安全号码（SSN）、财务及生物识别信息被盗；而在更早的 2018 年初，其另一家加盟商 RMH 旗下超 160 家餐厅也曾因 POS 机感染恶意软件泄露支付卡数据。
4 月份加盟商出事，总部尚且可以切割责任；10 月份官方 App 数据库大门敞开，板子则直接打在母公司 Dine Brands 身上。截至 10 月 30 日，Dine Brands 投资者关系官网上没有任何关于此次事件的新闻稿。
按照美国证券交易委员会（SEC）的规定，上市公司发生重大网络安全事件必须提交 8-K 表格进行强制披露。如果服务器压根没有开启细粒度的访问日志，企业自然永远“找不到未经授权访问的证据”，进而可以把一起潜在波及 850 万人的数据裸奔定性为“仅被善意研究员发现的未遂风险”，以此规避 SEC 披露义务、州检察长调查以及随之而来的集体诉讼。接下来最值得紧盯的变量，正是 Dine Brands 能否靠这套“无日志即无证据”的话术蒙混过关，还是会在监管压力下补交那份迟到的合规披露文件。