Wyndham atskleidė klientų duomenų pažeidžiamumą dėl įterpto slaptažodžio mobiliųjų programėlių Android versijoje

Vaizdas: TechCrunch · Šaltinis

Wyndham Hotels pranešė, kad Android programėlėje įdėtas slaptažodis leido prieigą prie Salesforce sistemoje saugomos klientų duomenų bazės. Įmonė ištaisė klaidą, tačiau neatskleidė įrodymų apie neautorizuotą prisijungimą ar planus pranešti klientams.

Viešbučių milžinė Wyndham Hotels susidūrė su kibernetinio saugumo incidentu, kai saugumo tyrėjas aptiko reikšmingą pažeidžiamumą įmonės Android mobiliųjų įrenginių programėlėje. Tyrėjas Robert Wiggins iš What Security rado į kodo šaltinį įterptą slaptažodį, leidžiantį neribotą prieigą prie vidinės Salesforce talpinamos duomenų bazės.

Ši atskleista duomenų bazė talpino didelį kiekį jautrios klientų informacijos, įskaitant vardus, el. pašto adresus, Wyndham lojalumo programos narių numerius bei prisijungimo žetonus (JWT), kurie palaiko vartotojo sesiją be nuolatinio slaptažodžio įvedimo. Be klientų duomenų, bazėje taip pat buvo įvairių vidinių failų ir dokumentų. Nors tikslus atskleistų įrašų skaičius nėra nustatytas, pranešama, kad duomenų bazėje yra milijonai įrašų; Wyndham teigia turinti apie 129 milijonus lojalumo programos narių.

Sužinojusi per TechCrunch, Wyndham kibernetinio saugumo komanda nedelsdama atšaukė įterptą slaptažodį, taip užkertant kelią tolesniam neautorizuotam prisijungimui. Įmonės atstovas patvirtino, kad problema buvo išspręsta, bet neatskleidė, kiek ilgai egzistavo pažeidžiamumas arba ar įvyko duomenų nutekėjimas prieš jo atradimą.

Tolimesni užklausimai neatskleidė, ar Wyndham turi technines galimybes, pavyzdžiui, serverių žurnalus, ištirti galimą ankstesnį neautorizuotą prieigą. Įmonė taip pat atsisakė patvirtinti, ar ketina informuoti paveiktus klientus ar pranešti apie incidentą JAV reguliatoriams, įskaitant Vertybinių popierių ir biržos komisiją, kaip tai įprasta reikšmingiems kibernetinio saugumo atvejams viešose įmonėse.

Prietaras, kai prisijungimo duomenys koduojami tiesiai į viešai platinamą programinę įrangą, vadinamas „hardcoding“, laikomas rimtu saugumo trūkumu dėl lengvo tokių duomenų išnaudojimo galimybės. Wiggins pažymėjo, kad šis radinys pasirodė netrukus po to, kai jis aptiko panašią pažeidžiamybę Applebee's programėlėje, naudodamas dirbtinio intelekto pagalbą analizuojant dekompiliuotą kodą, kas pabrėžia dirbtinio intelekto svarbą atskleidžiant saugumo spragas.

Šiuo metu Wyndham neturi oficialios pažeidžiamumų atskleidimo programos, tačiau palaiko el. pašto kontaktą galimiems saugumo pranešimams. Ankstesni Wyndham saugumo incidentai apima 2024 m. atvejį, kai šnipinėjimo programinė įranga viešbučio registratūros kompiuteriuose atskleidė svečių informaciją, dėl ko buvo imtasi teisinių veiksmų prieš tokios programos operatorių.

Šis įvykis pabrėžia dideles problemas, su kuriomis susiduria didelės viešbučių organizacijos saugodamos dideles klientų duomenų bazes, išryškindamas būtinybę taikyti saugias programėlių kūrimo praktikas ir skaidrią saugumo incidentų valdymą.