Wyndham expuso datos de clientes mediante credencial codificada en su aplicación móvil

Image: TechCrunch · Source

Wyndham Hotels reveló que una contraseña incrustada en su app para Android permitía acceder a una base de datos de clientes alojada en Salesforce. La empresa corrigió la falla, pero no reportó evidencia de accesos no autorizados ni planes para notificar a clientes.

El gigante de la hospitalidad Wyndham Hotels enfrentó un incidente de ciberseguridad luego de que un investigador de seguridad descubriera una vulnerabilidad significativa en la aplicación móvil Android de la compañía. El investigador Robert Wiggins, de What Security, encontró una contraseña codificada de forma fija en el código fuente de la app, lo que permitía acceso sin restricciones a una base de datos interna alojada en Salesforce.

Esta base de datos expuesta contenía una gran cantidad de información sensible de clientes, incluyendo nombres, direcciones de correo electrónico, números de miembros del programa Wyndham Rewards y tokens de inicio de sesión (JWTs) que mantienen sesiones activas sin requerir repetidas solicitudes de contraseña. Además de datos de clientes, también albergaba diversos archivos y documentos internos. Aunque el número exacto de registros expuestos no se determina, la base de datos contiene reportada mente millones de entradas; Wyndham afirma tener aproximadamente 129 millones de miembros en su programa de recompensas.

Tras ser informado mediante TechCrunch, el equipo de ciberseguridad de Wyndham revocó rápidamente la credencial expuesta, bloqueando así el acceso no autorizado adicional. Un portavoz de la empresa confirmó que se resolvió el problema, pero no proporcionó detalles sobre cuánto tiempo existió la vulnerabilidad ni si ocurrieron brechas de datos antes de su detección.

Consultas adicionales no arrojaron información sobre si Wyndham dispone de capacidad técnica, como registros de servidor, para investigar accesos no autorizados previos potenciales. La compañía tampoco confirmó si tiene intención de notificar a los clientes afectados o reportar el incidente a reguladores estadounidenses, incluyendo la Comisión de Bolsa y Valores, como es habitual en eventos materiales de ciberseguridad que impactan a empresas públicas.

La práctica de insertar credenciales directamente en software liberado públicamente, conocida como codificación fija (hardcoding), es ampliamente considerada una falla grave de seguridad debido a la facilidad con que los atacantes pueden explotar esta información. Wiggins señaló que este hallazgo ocurre poco después de identificar una vulnerabilidad similar en la app de Applebee's usando análisis asistido por inteligencia artificial de código descompilado, lo que resalta el rol creciente de la inteligencia artificial en descubrir debilidades de seguridad.

Wyndham actualmente tampoco ofrece un programa oficial de divulgación de vulnerabilidades, pero mantiene un contacto por correo electrónico para posibles reportes de seguridad. Incidentes previos relacionados con seguridad que involucran a Wyndham incluyen un caso en 2024 donde un software espía en computadoras para check-in de hoteles expuso información de huéspedes, lo que derivó finalmente en acciones legales contra el operador del spyware.

Este episodio subraya los desafíos continuos que enfrentan organizaciones grandes del sector hotelero para proteger vastas bases de datos de información de clientes, enfatizando la necesidad crítica de prácticas seguras en el desarrollo de aplicaciones y una gestión transparente de incidentes de seguridad.