Wyndham atklāja klientu datus, izmantojot stingri kodētu piekļuves informāciju mobilajā lietotnē

Attēls: TechCrunch · Avots

Wyndham Hotels atzina, ka Android lietotnē iebūvēta parole nodrošināja piekļuvi Salesforce mitinātai klientu datubāzei. Uzņēmums novērsa problēmu, taču netika atklāti ne nepiederošas piekļuves pierādījumi, ne plāni paziņot klientiem.

Viesnīcu gigants Wyndham Hotels saskārās ar kiberdrošības incidentu pēc tam, kad drošības pētnieks Roberts Vigginss no What Security atklāja ievērojamu ievainojamību uzņēmuma Android mobilajā lietotnē. Pētnieks atklāja stingri kodētu paroli, kas bija iebūvēta lietotnes avota kodā un ļāva nerobežotu piekļuvi uzņēmuma iekšējai datubāzei, ko mitina Salesforce.

Šī pakļautā datubāze saturēja milzīgu daudzumu sensitīvas klientu informācijas, tostarp vārdus, e-pasta adreses, Wyndham Rewards biedru numurus un pieteikšanās žetonus (JWT), kas uztur lietotāja sesijas, novēršot atkārtotas paroles ievades nepieciešamību. Papildus klientu datiem datubāzē atradās arī dažādi iekšējie faili un dokumenti. Lai gan precīzs pakļauto ierakstu skaits nav zināms, datubāzē esot miljoniem ierakstu; Wyndham apgalvo par aptuveni 129 miljoniem locekļu paziņojumu.

Saņemot informāciju no TechCrunch, Wyndham kiberdrošības komanda nekavējoties atcēla pakļauto piekļuves akreditāciju, tādējādi bloķējot turpmāku neatļautu piekļuvi. Uzņēmuma pārstāvis apstiprināja, ka problēma tika atrisināta, taču neatklāja, cik ilgi ievainojamība pastāvēja vai vai kādi datu pārkāpumi notika pirms tās atklāšanas.

Turpmākās izmeklēšanas nesniedza informāciju, vai Wyndham ir tehniskas iespējas, piemēram, serveru žurnāli, lai izmeklētu iespējamu iepriekšējo neatļautu piekļuvi. Uzņēmums arī atteicās apstiprināt, vai plāno informēt ietekmētos klientus vai ziņot par incidentu ASV regulatīvajām iestādēm, tostarp Vērtspapīru un biržu komisijai, kā tas ierasts būt nozīmīgiem kiberdrošības gadījumiem, kas ietekmē publiskus uzņēmumus.

Prakse tieši iebūvēt piekļuves datus publiski izlaistā programmatūrā, ko sauc par stingru kodēšanu (hardcoding), tiek plaši uzskatīta par nopietnu drošības kļūdu, jo ļaundariem šādu informāciju ir viegli izmantot ļaunprātīgi. Vigginss norādīja, ka šis atklājums notiek neilgi pēc tam, kad viņš atklāja līdzīgu ievainojamību Applebee’s lietotnē, izmantojot mākslīgā intelekta atbalstītu analizētāju dekompilētā koda pārskatīšanai, uzsverot mākslīgā intelekta pieaugošo lomu drošības vājumu atklāšanā.

Pašlaik Wyndham arī nepiedāvā oficiālu ievainojamību atklāšanas programmu, taču uztur e-pasta kontaktu potenciālu drošības ziņojumu saņemšanai. Iepriekšējie drošības incidenti, kas saistīti ar Wyndham, ietver 2024. gada gadījumu, kad izsekošanas programmatūra viesnīcu reģistrācijas datoros atklāja viesu informāciju, kas noveda pie juridiskām darbībām pret programmatūras izplatītāju.

Šis gadījums uzsver turpmākās problēmas, ar kurām saskaras lieli viesnīcu uzņēmumi, aizsargājot milzīgas klientu datu bāzes, akcentējot drošas lietotņu izstrādes prakses nepieciešamību un caurspīdīgu drošības incidentu pārvaldību.