Wyndham Exponerade Kunddata via Inbäddade Lösenord i Mobilapp

Bild: TechCrunch · Källa

Wyndham Hotels avslöjade att ett inbäddat lösenord i deras Android-app gav åtkomst till en Salesforce-hostad kunddatabas. Företaget åtgärdade problemet men uppgav inga bevis för obehörig åtkomst eller planer på att informera kunderna.

Hotelljätten Wyndham Hotels drabbades av en cybersäkerhetsincident efter att en säkerhetsforskare upptäckte en allvarlig sårbarhet i företagets Android-mobilapp. Forskaren Robert Wiggins från What Security fann ett hårdkodat lösenord inbäddat i appens källkod, vilket möjliggjorde obegränsad åtkomst till en intern databas som hostas av Salesforce.

Denna exponerade databas innehöll en stor mängd känslig kundinformation, inklusive namn, e-postadresser, Wyndham Rewards-medlemsnummer och inloggningstokens (JWT) som upprätthåller användarsessioner utan upprepade lösenordsförfrågningar. Utöver kunddata fanns även olika interna filer och dokument lagrade. Det exakta antalet poster som exponeras är okänt, men databasen uppges innehålla miljontals poster; Wyndham uppger ha cirka 129 miljoner rewardsmedlemmar.

När TechCrunch informerade om problemet återkallade Wyndhams cybersäkerhetsteam snabbt det exponerade åtkomstuppgifterna och blockerade därmed vidare obehörig åtkomst. En företagstalesperson bekräftade att problemet åtgärdades men lämnade inga detaljer om hur länge sårbarheten funnits eller om några dataintrång skett innan upptäckten.

Ytterligare förfrågningar gav inga uppgifter om huruvida Wyndham har teknisk kapacitet, såsom serverloggar, för att undersöka eventuell tidigare obehörig åtkomst. Företaget ville inte heller bekräfta om det planerar att informera berörda kunder eller rapportera incidenten till amerikanska tillsynsmyndigheter, inklusive Securities and Exchange Commission, vilket är vanligt vid materiella cybersäkerhetshändelser som påverkar börsnoterade bolag.

Praxisen att hårdkoda inloggningsuppgifter direkt i offentligt distribuerad programvara betraktas allmänt som ett allvarligt säkerhetsmisstag på grund av den lätthet med vilken angripare kan utnyttja sådan information. Wiggins noterade att denna upptäckt kom kort efter att han identifierat en liknande sårbarhet i Applebee’s app genom AI-assisterad analys av dekompilerad kod, vilket belyser artificiell intelligens ökande roll i att avslöja säkerhetssvagheter.

Wyndham saknar för närvarande även något officiellt program för sårbarhetsrapportering men har en e-postadress för potentiella säkerhetsrapporter. Tidigare säkerhetsincidenter som rört Wyndham inkluderar ett fall 2024 där spionprogramvara på hotellens incheckningsdatorer exponerade gästinformation, vilket till slut ledde till rättsliga åtgärder mot spionprogramvarans operatör.

Denna episod belyser de fortsatta utmaningarna för stora serviceorganisationer att skydda enorma kunddatabaser och understryker behovet av säkra utvecklingsrutiner och transparent hantering av säkerhetsincidenter.