Wyndham paljastas kliendiandmed mobiilirakenduse sisseehitatud mandaadi kaudu

Pilt: TechCrunch · Allikas

Wyndham Hotels avalikustas, et nende Androidi rakenduses sisalduv parool võimaldas ligi pääseda Salesforce’i hallatavale kliendibaasile. Ettevõte lahendas probleemi, kuid ei leidnud tõendeid volitamata juurdepääsu kohta ega kavatsenud kliente teavitada.

Majutusettevõte Wyndham Hotels koges küberturvalisuse intsidenti pärast seda, kui turvateadlane Robert Wiggins firmast What Security avastas ettevõtte Androidi mobiilirakenduse allikakoodis sisseehitatud parooli, mis võimaldas piiranguteta ligipääsu Salesforce’i pilveteenuses majutatud sisemisele andmebaasile.

See paljastatud andmebaas sisaldas suures mahus tundlikku kliendiinfot, sealhulgas nimesid, e-posti aadresse, Wyndham Rewards liikmete numbreid ning JWT-sessioonitokeneid, mis hoiavad kasutajakontosid aktiivsena ilma vajaduseta parooli korduvalt sisestada. Lisaks kliendiandmetele sisaldas see ka mitmesuguseid sisemisi faile ja dokumente. Kuigi täpne avastatud kirjete arv on teadmata, väidab Wyndham, et andmebaasis on miljoneid kirjeid; ettevõttel on umbes 129 miljonit liikmeskonna andmestikku.

TechCrunchi kaudu teavitamise järel kehtestas Wyndham’i küberturvalisuse meeskond kiiresti juurdepääsuõiguse tühistamise, blokeerides edasise volitamata ligipääsu. Ettevõte kinnitas, et probleem sai lahendatud, kuid ei avaldanud, kui kaua haavatavus oli aktiivne ega kas enne avastamist ilmnesid andmerikkumised.

Täiendavad päringud ei selgitanud, kas Wyndhamil on tehnilised vahendid, näiteks serverilogid, võimalike varasemate volitamata ligipääsude uurimiseks. Ettevõte keeldus ka kinnitamast, kas nad plaanivad mõjutatud kliente teavitada või teatada juhtumist USA reguleerivatele asutustele, sh Securities and Exchange Commissionile, mis on tavapärane praktika avalike ettevõtete oluliste küberturvalisuse intsidentide korral.

Avalikus tarkvaras otse mandaadide sisseehitamist ehk hardcodingut peetakse laialdaselt tõsiseks turvaveaks, sest see võimaldab ründajatel hõlpsasti vajalikku infot kuritarvitada. Wiggins märkis, et selle avastusega seoses tuli kohe pärast tema leidmist sarnane haavatavus Applebee’s rakenduses, mille ta tuvastas tehisintellekti abiga dekompileeritud koodi analüüsides, tuues esile tehisintellekti kasvava rolli turvaprobleemide avastamisel.

Praegu puudub Wyndhamil ametlik haavatavuste avalikustamise programm, kuid neil on turvaaruannete jaoks e-posti kontakt. Varasemad turvaintsidendid hõlmavad 2024. aasta juhtumit, kus spioonitarkvara hotellide registreerimiskontorite arvutites avalikustas külaliste andmed ning selle tulemusena algatati õigustoimingud spioonitarkvara operaatori vastu.

See intsident rõhutab jätkuvaid väljakutseid, millega suured majutusettevõtted silmitsi seisavad tohutute kliendiandmete andmebaaside kaitsmisel, tuues esile turvalise rakenduste arendamise ja läbipaistva turvaintsidentide halduse kriitilise vajaduse.