Những sự thật gây sốc chỉ biết sau khi gọi món bằng menu mã QR
- Vài ngày trước, tôi gọi món bằng mã QR tại một quán cà phê gần nhà và chỉ sau 5 phút đồ ăn đã được mang ra mà không có bất kỳ bước xác nhận nào
- Khi mở website từ mã QR, tôi thấy nó đang chạy trên một subdomain của dotpe.in
- Dotpe là công ty cung cấp “full stack food stack” cho nhà hàng, và Google là một trong các nhà đầu tư
Các vấn đề được phát hiện trong API của Dotpe
- Ở endpoint
/api/morder/suggestion/ongoing/items, có thể thấy toàn bộ danh sách món ăn đang được đặt tại quán cà phê đó
- Ở endpoint
/api/morder/suggestion/items/purchase/history, hệ thống cung cấp số lần đặt của từng món trong tháng trước
- Từ đó có thể tính được doanh thu một tháng
- Ở endpoint
/api/morder/suggestion/items/past-fav, chỉ cần đổi số điện thoại là có thể xem cả lịch sử đơn hàng trước đây của người khác
- Ở endpoint
/api/morder/fd/table/state, chỉ cần đổi table ID là có thể xem tên, số điện thoại và nội dung đơn hàng của người khác
Truy cập dữ liệu quy mô toàn quốc của Dotpe
- Thông qua API tìm kiếm cửa hàng nhượng quyền của Dotpe, có thể xem lịch sử đơn hàng theo thời gian thực của hơn 37.000 nhà hàng trên toàn quốc
- Các chuỗi lớn như Starbucks, Pizza Hut, Haldiram's, Social, Barista, Paradise Biryani cũng đang sử dụng
- Kết quả phân tích dữ liệu bán hàng tháng trước cho thấy Social Pub ghi nhận doanh thu thường niên hơn 20 tỷ rupee, đồng thời có thể xác định món bán chạy theo từng chi nhánh
- Cửa hàng chính của Paradise Biryani có doanh thu hơn 70 lakh rupee mỗi tháng
Kết quả thử nghiệm và những mối lo ngại
- Sau khi phân tích API, tác giả xác nhận có thể từ xa đặt món vào bàn của người khác
- Khi trực tiếp thử tại Social Pub, việc này đã gây ra chút hỗn loạn nhưng không phát sinh sự cố lớn
- Tuy vậy, nếu bị tự động hóa ở quy mô lớn thì có thể gây hỗn loạn trên phạm vi toàn quốc
- Thông qua endpoint
/api/morder/fd/table/state, có thể truy cập lịch sử đơn hàng trước đây của mọi người từng đặt qua dotpe
- Nếu kết hợp với dữ liệu cá nhân, bất kỳ ai cũng có thể theo dõi thói quen ăn uống của người khác, thậm chí làm dấy lên lo ngại về khả năng mua bán dữ liệu
- Việc API bị phơi bày không phòng vệ như vậy có vẻ либо là một quyết định có chủ ý, либо là do Dotpe thờ ơ
Ý kiến của GN⁺
- Quy mô và mức độ nhạy cảm của dữ liệu mà Dotpe đang thu thập là điều rất đáng lo ngại. Thông tin liên quan đến thói quen ăn uống cá nhân có nguy cơ xâm phạm quyền riêng tư cao
- Việc bất kỳ ai cũng có thể truy cập thông tin doanh thu của các nhà hàng trên toàn quốc cũng là vấn đề về bảo vệ bí mật kinh doanh của doanh nghiệp
- Các dịch vụ tương tự như Swiggy, Zomato dường như chú trọng bảo mật hơn. Dotpe cũng cần tăng cường kiểm soát truy cập API và xác thực
- Khi sử dụng dịch vụ gọi món không tiếp xúc dựa trên mã QR, cần xem xét cẩn thận phạm vi thu thập dữ liệu cá nhân và cách dữ liệu được sử dụng
- Trong bối cảnh quy định về quyền riêng tư dữ liệu đang được siết chặt, cách làm của Dotpe nhiều khả năng sẽ thu hút sự chú ý của cơ quan quản lý. Có vẻ họ cần chủ động ứng phó sớm
3 bình luận
Tôi biết ở Trung Quốc, mã QR từ lâu đã được sử dụng cực kỳ phổ biến và đa dụng.
Vì vậy tôi nghe nói cũng có khá nhiều kiểu phạm tội như lén thay mã QR trên bảng menu của cửa hàng bằng mã QR của mình. (Vì chỉ nhìn mã QR thì không thể phân biệt nó đại diện cho sản phẩm gì hay là của ai.)
Nhưng chuyện theo kiểu này mà đến cả endpoint cũng bị lộ hẳn ra và ai cũng có thể truy cập được thì đây lại là lần đầu tôi nghe thấy. Khá thú vị.
Bài gốc đã bị xóa rồi nhỉ. Nhưng trên web archive thì vẫn còn nguyên cả đấy.
https://archive.is/Z7eIg
Ý kiến Hacker News
Tiết lộ lỗ hổng một cách riêng tư trước khi công khai là tiêu chuẩn đạo đức
Trải nghiệm gọi món tốt nhất là dùng thực đơn giấy và gọi qua phục vụ bàn
Công khai dữ liệu doanh thu chính xác của một doanh nghiệp trị giá nhiều triệu đô là một ý tưởng tồi
Xét từ góc độ kỹ thuật thì thú vị, nhưng việc công bố lỗ hổng một cách thiếu trách nhiệm là có vấn đề
Công khai lỗ hổng mà không liên hệ với công ty là hành động thiếu chín chắn
Tôi từng phát hiện một lỗ hổng tương tự trong hệ thống đặt vé xe buýt của chính phủ
Tôi thích quét mã QR trong đời sống hằng ngày
Từng có trường hợp vào tù vì dùng dữ liệu thuê bao công khai của AT&T