Wyndham paljasti asiakastiedot kovakoodatun tunnuksen ansiosta mobiilisovelluksessa

Kuva: TechCrunch · Lähde

Wyndham Hotels paljasti, että Android-sovelluksen sisäänrakennettu salasana antoi pääsyn Salesforce-isännöityyn asiakastietokantaan. Yritys korjasi ongelman, mutta ei ilmoittanut merkkejä luvattomasta pääsystä tai aikomuksia tiedottaa asiakkaita.

Vierasvarausalan jättiläinen Wyndham Hotels kohtasi kyberturvallisuusongelman, kun tietoturvatutkija löysi merkittävän haavoittuvuuden yrityksen Android-mobiilisovelluksesta. Tutkija Robert Wiggins What Securitystä löysi kovakoodatun salasanan sovelluksen lähdekoodista, mikä antoi rajoittamattoman pääsyn Salesforce-palvelimilla ylläpidettyyn sisäiseen tietokantaan.

Altistunut tietokanta sisälsi laajan määrän arkaluonteisia asiakastietoja, mukaan lukien nimet, sähköpostiosoitteet, Wyndham rewards -jäsenyysnumerot sekä kirjautumistunnukset (JWT), jotka ylläpitävät käyttäjän istuntoja ilman toistuvaa salasanan syöttöä. Asiakastietojen lisäksi tietokannassa oli erilaisia sisäisiä tiedostoja ja asiakirjoja. Tarkkaa altistuneiden tietueiden määrää ei ole määritelty, mutta tietokannan kerrotaan sisältävän miljoonia kirjauksia; Wyndham väittää omaavansa noin 129 miljoonaa rewards-jäsentä.

Saatuaan tiedon TechCrunchin kautta, Wyndhamin kyberturvatiimi peruutti välittömästi altistetun tunnuksen estääkseen luvattoman pääsyn jatkumisen. Yrityksen edustaja vahvisti ongelman ratkaistun, mutta ei paljastanut, kuinka kauan haavoittuvuus oli ollut olemassa tai tapahtuiko tietomurto ennen sen löytämistä.

Lisäkyselyt eivät tuottaneet tietoa siitä, onko Wyndhamillä teknisiä mahdollisuuksia, kuten palvelinlokit, tutkia mahdollista aiempaa luvattomaa pääsyä. Yritys kieltäytyi myös vahvistamasta aikooko se tiedottaa asiaankuuluville asiakkaille tai raportoida tapauksesta Yhdysvaltain sääntelyviranomaisille, kuten arvopaperi- ja pörssikomissiolle, kuten on tapana merkittävissä kyberturvallisuustapahtumissa julkisissa yhtiöissä.

Kovakoodauksen, eli tunnusten upottamisen suoraan julkiseen ohjelmistoon, katsotaan laajalti vakavaksi turvallisuuspuutteeksi, koska hyökkääjien on helppo hyödyntää tällaista tietoa. Wiggins totesi, että löydös syntyi pian sen jälkeen, kun hän havaitsi vastaavan haavoittuvuuden Applebee's-sovelluksessa käyttäen tekoälyavusteista käännetyn koodin analyysiä, mikä korostaa tekoälyn kasvavaa roolia turvallisuuspuutteiden löytämisessä.

Wyndhamillä ei tällä hetkellä ole virallista haavoittuvuuksien ilmoitusohjelmaa, mutta se ylläpitää sähköpostiosoitetta mahdollisille tietoturvaraporteille. Aiempiin Wyndhamin tietoturvapoikkeamiin kuuluu vuonna 2024 tapahtunut tapaus, jossa vakoiluohjelmisto hotellin sisäänkirjautumistietokoneilla paljasti vieraiden tietoja, mikä johti oikeustoimiin vakoiluohjelmiston käyttäjää vastaan.

Tapaus korostaa suurten vieraanvaraisuusalan organisaatioiden jatkuvia haasteita suojella valtavia asiakastietokantoja, korostaen turvallisten sovelluskehityskäytäntöjen ja läpinäkyvän tietoturvapoikkeamien hallinnan kriittistä tarvetta.