Wyndham Eksponerte Kundedata via Hardkodet Ferdighetsinformasjon i Mobilapp

Bilde: TechCrunch · Kilde

Wyndham Hotels avslørte at et innebygd passord i deres Android-app ga tilgang til en Salesforce-hostet kundedatabase. Selskapet rettet problemet, men oppga ingen bevis på uautorisert tilgang eller planer om kundevarsling.

Hotellkonsernet Wyndham Hotels ble utsatt for en cybersikkerhetshendelse etter at en sikkerhetsforsker oppdaget en betydelig sårbarhet i selskapets Android-mobilapp. Forskeren Robert Wiggins fra What Security fant et hardkodet passord innebygd i appens kildekode, noe som ga ubegrenset tilgang til en intern database hostet av Salesforce.

Denne eksponerte databasen inneholdt en stor mengde sensitiv kundeinformasjon, inkludert navn, e-postadresser, Wyndham Rewards-medlemsnumre og innloggingstokener (JWTs) som opprettholder brukersesjoner uten gjentatte passordforespørsler. I tillegg til kundedata, inneholdt den også ulike interne filer og dokumenter. Det eksakte antallet eksponerte poster er ikke kjent, men databasen skal inneholde millioner av oppføringer; Wyndham oppgir å ha om lag 129 millioner rewards-medlemmer.

Da TechCrunch informerte om funnet, trakk Wyndhams cybersikkerhetsteam raskt tilbake den eksponerte legitimasjonen og sperret dermed videre uautorisert tilgang. En talsmann for selskapet bekreftet at problemet var løst, men gav ingen detaljer om hvor lenge sårbarheten hadde eksistert eller om datainnbrudd hadde skjedd før oppdagelsen.

Ytterligere henvendelser ga ingen opplysninger om hvorvidt Wyndham har teknisk kapasitet, som serverlogger, til å undersøke mulig tidligere uautorisert tilgang. Selskapet avslo også å bekrefte om det har planer om å varsle berørte kunder eller rapportere hendelsen til amerikanske tilsynsmyndigheter, inkludert Securities and Exchange Commission, som er vanlig for vesentlige cybersikkerhetshendelser som påvirker børsnoterte selskaper.

Praksisen med å hardkode legitimasjon direkte i offentlig tilgjengelig programvare anses allment som en alvorlig sikkerhetsbrist på grunn av hvor enkelt angripere kan utnytte slik informasjon. Wiggins bemerket at dette funnet kom kort tid etter at han identifiserte en lignende sårbarhet i Applebee’s app, gjennom AI-assistert analyse av dekompilert kode, noe som understreker den økende rollen kunstig intelligens har i å oppdage sikkerhetssvakheter.

Wyndham har for tiden heller ikke noe offisielt program for sårbarhetsrapportering, men opprettholder en e-postadresse for potensielle sikkerhetsrapporter. Tidligere sikkerhetshendelser som involverer Wyndham inkluderer en sak i 2024 hvor spionprogramvare på hotellinnsjekkingsdatamaskiner eksponerte gjesteinformasjon, noe som til slutt førte til rettslige skritt mot operatøren av spionprogramvaren.

Denne hendelsen understreker de vedvarende utfordringene store serviceorganisasjoner står overfor i å beskytte enorme kundedatabaser, og fremhever det kritiske behovet for sikre app-utviklingsrutiner og transparent håndtering av sikkerhetshendelser.