❗️ История о том, как хакер-энтузиаст взломал цифровую инфраструктуру McDonald’s ради бесплатных наггетсов, обернулась масштабным расследованием безопасности, вскрывшим десятки уязвимостей в системах корпорации
— Пользователь под ником BobDaHacker опубликовал 17 августа 2025 года подробный отчёт, в котором шаг за шагом описал, как тривиальная ошибка в приложении для начисления бонусов позволила ему углубиться в куда более серьёзные проблемы
◦ Мобильное приложение не проверяло количество бонусных баллов на стороне сервера, ограничившись клиентской валидацией;
◦ При минимальной модификации трафика можно было получать еду без накопленных очков;
◦ Сайт оказался защищён только клиентским паролем — устаревшей практикой, не обеспечивающей реальной защиты;
◦ На платформе хранились помеченные как конфиденциальные видеоматериалы, доступ к которым мог получить любой, кто прошёл подобную «регистрацию»;
◦ В скриптах сайта BobDaHacker обнаружил открытые ключи Magicbell API, позволявшие отправлять поддельные уведомления от имени инфраструктуры McDonald’s.
История про пароль «123456» ничему их так и не научила.
🧑💻 Этичный хакер