Wyndham раскрыла данные клиентов из-за жестко закодированных учетных данных в мобильном приложении

Image: TechCrunch · Source

Wyndham Hotels сообщила, что встроенный пароль в ее приложении для Android предоставлял доступ к базе данных клиентов, размещенной в Salesforce. Компания устранила проблему, но не сообщила о доказательствах несанкционированного доступа или планах уведомления клиентов.

Крупная гостиничная компания Wyndham Hotels столкнулась с инцидентом в области кибербезопасности после того, как исследователь по безопасности обнаружил серьезную уязвимость в мобильном приложении компании для Android. Исследователь Роберт Уиггинс из What Security нашел жестко закодированный пароль в исходном коде приложения, который позволял неограниченный доступ к внутренней базе данных, размещенной на Salesforce.

Эта раскрытая база данных содержала огромное количество конфиденциальной информации о клиентах, включая имена, адреса электронной почты, номера участников программы Wyndham Rewards и токены для входа (JWT), которые поддерживают сессии пользователей без необходимости повторного ввода пароля. Помимо данных клиентов, там также хранились различные внутренние файлы и документы. Точное количество раскрытых записей остается неизвестным, однако в базе содержатся миллионы записей; Wyndham утверждает, что у нее примерно 129 миллионов участников программы лояльности.

После получения сообщения через TechCrunch команда кибербезопасности Wyndham оперативно отозвала раскрытые учетные данные, что заблокировало дальнейший несанкционированный доступ. Представитель компании подтвердил, что проблема решена, но не предоставил деталей о том, как долго уязвимость существовала и были ли нарушения данных до ее обнаружения.

Дополнительные запросы не дали информации о том, обладает ли Wyndham техническими возможностями, такими как серверные логи, для расследования возможного ранее несанкционированного доступа. Компания также не подтвердила намерения уведомить затронутых клиентов или доложить об инциденте регуляторам США, включая Комиссию по ценным бумагам и биржам, что является обычной практикой при значимых киберинцидентах, затрагивающих публичные компании.

Практика внедрения учетных данных непосредственно в публично выпущенное программное обеспечение, известная как жесткое кодирование, широко считается серьезным нарушением безопасности из-за того, как легко злоумышленники могут воспользоваться такой информацией. Уиггинс отметил, что это открытие последовало вскоре после того, как он обнаружил аналогичную уязвимость в приложении Applebee's, используя анализ с помощью искусственного интеллекта декомпилированного кода, что подчеркивает растущую роль ИИ в выявлении уязвимостей безопасности.

В настоящее время Wyndham не предлагает официальную программу раскрытия уязвимостей, но поддерживает электронную почту для потенциальных сообщений о безопасности. Прошлые инциденты с участием Wyndham включают случай 2024 года, когда шпионское ПО на компьютерах регистрации в отелях раскрыло информацию о гостях, что в конечном итоге привело к юридическим мерам против оператора этого ПО.

Этот эпизод подчеркивает продолжающиеся проблемы, с которыми сталкиваются крупные гостиничные организации при защите огромных баз данных клиентов, акцентируя критическую необходимость безопасных практик разработки приложений и прозрачного управления инцидентами безопасности.