Falha em sistema do McDonald’s possibilitava lanches infinitos e de graça

Duas vulnerabilidades presentes em um sistema local da versão alemã da rede McDonald’s permitiam que qualquer indivíduo (com o devido conhecimento técnico para isso) realizasse pedidos infinitos de lanches e bebidas gratuitamente. As brechas foram descobertas acidentalmente por Lenny Bakkalian e David Albert, uma dupla de pesquisadores que, após identificar o problema em novembro de 2019, notificaram a cadeia de fast food para que o software fosse consertado imediatamente.

O primeiro bug residia em um sistema usado para recompensar os clientes que preenchem uma pesquisa de satisfação. Ao realizar qualquer pedido em um McDonald’s na Alemanha, você recebe um código único no final de sua nota fiscal; informando tal token em uma URL específica e completando o formulário, o consumidor recebe na hora um voucher para resgatar um copo pequeno de refrigerante na próxima vez que for ao restaurante.

Ao analisar o código de tal página, David descobriu que o gatilho para o script que liberava o voucher era sempre igual e percebeu que poderia criar um programa para gerar a quantidade de cupons que quisesse, simulando um consumidor repetindo a pesquisa infinitamente.

Mas os especialistas não pararam por aí. Após brincar com o gerador de cupons durante mais horas, eles aprimoraram o software e conseguiram modificá-lo para aplicar a gratuidade em qualquer pedido feito pelo aplicativo oficial do McDonald’s — tudo o que foi necessário foi usar um laptop como um “proxy” para interceptar as informações do app, eliminar o valor do lanche e devolver os dados para o celular, permitindo que a encomenda fosse finalizada sem a necessidade de pagar um único centavo.

A rede de fast food foi notificada após a realização de testes em dois estabelecimentos distintos: no primeiro, os pesquisadores pediram 15 lanches, mas avisaram os cozinheiros para cancelar os pedidos; no segundo, o próprio gerente da lanchonete insistiu em entregar o hambúrguer, que foi oferecido para um morador de rua. A falha foi consertada em dezembro e os especialistas foram recompensados pela descoberta.

Reprodução de: https://thehack.com.br/falha-em-sistema-do-mcdonalds-possibilitava-lanches-infinitos-e-de-graca/