Wyndham ujawnia dane klientów przez twardo zakodowane hasło w aplikacji mobilnej

Image: TechCrunch · Source

Wyndham Hotels ujawnił, że zagnieżdżone hasło w aplikacji na Androida umożliwiło dostęp do bazy danych klientów hostowanej na Salesforce. Firma naprawiła problem, lecz nie ujawniła dowodów na nieautoryzowany dostęp ani planów powiadomienia klientów.

Gigant hotelarski Wyndham Hotels stanął w obliczu incydentu cyberbezpieczeństwa po tym, jak badacz bezpieczeństwa odkrył poważną lukę w aplikacji mobilnej firmy na system Android. Badacz Robert Wiggins z What Security znalazł twardo zakodowane hasło w kodzie źródłowym aplikacji, które umożliwiało nieograniczony dostęp do wewnętrznej bazy danych hostowanej przez Salesforce.

Ta ujawniona baza danych zawierała ogromną ilość wrażliwych informacji o klientach, w tym imiona, adresy e-mail, numery członkowskie programu Wyndham Rewards oraz tokeny logowania (JWT), które utrzymują sesje użytkowników bez konieczności wielokrotnego wpisywania hasła. Oprócz danych klientów, przechowywano tam również różne pliki i dokumenty wewnętrzne. Dokładna liczba ujawnionych rekordów pozostaje nieznana, lecz baza zawiera podobno miliony wpisów; Wyndham twierdzi, że ma około 129 milionów członków programu rewards.

Po otrzymaniu zgłoszenia za pośrednictwem TechCrunch, zespół ds. cyberbezpieczeństwa Wyndham natychmiast unieważnił ujawnione poświadczenie, co zablokowało dalszy nieautoryzowany dostęp. Rzecznik firmy potwierdził, że problem został rozwiązany, lecz nie podał szczegółów dotyczących długości istnienia luki ani czy doszło do naruszeń danych przed jej wykryciem.

Dalsze zapytania nie przyniosły informacji, czy Wyndham posiada techniczne możliwości, takie jak logi serwerów, aby zbadać potencjalny wcześniejszy nieautoryzowany dostęp. Firma odmówiła także potwierdzenia, czy planuje powiadomić dotkniętych klientów lub zgłosić incydent amerykańskim regulatorom, w tym Komisji Papierów Wartościowych i Giełd, co jest standardem w przypadku istotnych wydarzeń cyberbezpieczeństwa dotyczących spółek publicznych.

Praktyka umieszczania poświadczeń bezpośrednio w publicznie udostępnianym oprogramowaniu, znana jako hardcoding, jest powszechnie uważana za poważne naruszenie bezpieczeństwa z powodu łatwości, z jaką atakujący mogą wykorzystać takie dane. Wiggins zauważył, że odkrycie to pojawia się krótko po tym, jak zidentyfikował podobną lukę w aplikacji Applebee's, wykorzystując analizę z pomocą sztucznej inteligencji na zdekompilowanym kodzie, co podkreśla rosnącą rolę AI w wykrywaniu słabości bezpieczeństwa.

Wyndham nie oferuje obecnie oficjalnego programu zgłaszania luk, lecz utrzymuje kontakt mailowy do potencjalnych zgłoszeń bezpieczeństwa. Przeszłe incydenty związane z Wyndham obejmują sprawę z 2024 roku, gdy oprogramowanie szpiegujące na komputerach do zameldowania w hotelach ujawniło dane gości, co ostatecznie doprowadziło do podjęcia kroków prawnych przeciwko operatorowi tego oprogramowania.

Ten przypadek podkreśla trwające wyzwania, przed którymi stoją duże organizacje hotelarskie w ochronie ogromnych baz danych klientów, akcentując krytyczną potrzebę bezpiecznych praktyk tworzenia aplikacji oraz przejrzystego zarządzania incydentami bezpieczeństwa.