Wyndham enthüllte Kundendaten durch fest codierte Zugangsdaten in mobiler App

Image: TechCrunch · Source

Wyndham Hotels gab bekannt, dass ein im Android-App eingebettetes Passwort Zugriff auf eine Salesforce-gehostete Kundendatenbank ermöglichte. Das Unternehmen behob das Problem, legte aber keine Hinweise auf unbefugten Zugriff oder Pläne zur Kundenbenachrichtigung offen.

Der Gastgewerbe-Riese Wyndham Hotels sah sich einem Cybersecurity-Vorfall gegenüber, nachdem ein Sicherheitsforscher eine erhebliche Sicherheitslücke in der Android-Mobilanwendung des Unternehmens entdeckte. Der Forscher Robert Wiggins von What Security fand ein fest codiertes Passwort im Quellcode der App, das uneingeschränkten Zugriff auf eine interne, bei Salesforce gehostete Datenbank erlaubte.

Diese exponierte Datenbank enthielt eine große Menge sensibler Kundendaten, darunter Namen, E-Mail-Adressen, Wyndham Rewards-Mitgliedsnummern und Login-Token (JWTs), die Benutzersitzungen aufrechterhalten, ohne dass wiederholte Passwortabfragen nötig sind. Über Kundendaten hinaus beherbergte sie auch verschiedene interne Dateien und Dokumente. Obwohl die genaue Anzahl der exponierten Datensätze unbekannt ist, enthält die Datenbank Berichten zufolge Millionen von Einträgen; Wyndham gibt an, etwa 129 Millionen Mitglieder im Rewards-Programm zu haben.

Nach Benachrichtigung durch TechCrunch widerrief das Cybersecurity-Team von Wyndham umgehend die exponierte Zugangsdaten, womit weiterer unbefugter Zugriff blockiert wurde. Ein Unternehmenssprecher bestätigte die Behebung des Problems, machte jedoch keine Angaben dazu, wie lange die Schwachstelle bestand oder ob vor der Entdeckung Datenabflüsse stattgefunden hatten.

Weitere Nachfragen ergaben keine Informationen darüber, ob Wyndham die technische Möglichkeit besitzt, wie etwa Serverprotokolle, um potenzielle frühere unbefugte Zugriffe zu untersuchen. Das Unternehmen lehnte zudem ab zu bestätigen, ob es plant, betroffene Kunden zu informieren oder den Vorfall US-Regulierungsbehörden, einschließlich der Securities and Exchange Commission, zu melden, wie es bei wesentlichen Cybersecurity-Vorfällen börsennotierter Unternehmen üblich ist.

Die Praxis, Zugangsdaten direkt in öffentlich bereitgestellte Software einzubetten, bekannt als Hardcoding, gilt als gravierende Sicherheitslücke, da Angreifer diese Informationen leicht ausnutzen können. Wiggins merkte an, dass dieser Befund kurz nach seiner Entdeckung einer ähnlichen Schwachstelle in der Applebee's-App mit KI-unterstützter Analyse von dekompiliertem Code erfolgt, was die zunehmende Rolle künstlicher Intelligenz bei der Aufdeckung von Sicherheitslücken unterstreicht.

Wyndham bietet derzeit zudem kein offizielles Programm zur Meldung von Sicherheitslücken an, unterhält jedoch eine E-Mail-Kontaktadresse für potenzielle Sicherheitsberichte. Frühere Sicherheitsvorfälle mit Wyndham umfassen einen Fall aus dem Jahr 2024, bei dem Spyware auf Hotel-Check-in-Computern Gastinformationen offenlegte, was letztlich zu rechtlichen Schritten gegen den Betreiber der Spyware führte.

Diese Episode unterstreicht die anhaltenden Herausforderungen, denen große Hospitality-Unternehmen gegenüberstehen, wenn es darum geht, massive Kundendatenbanken zu schützen, und betont die dringende Notwendigkeit sicherer App-Entwicklung sowie einer transparenten Verwaltung von Sicherheitsvorfällen.