Компанія Wyndham повідомила про витік даних клієнтів через вразливість у мобільному застосунку

Мережа готелів та курортів Wyndham підтвердила виявлення вразливості у своєму застосунку для Android, яка могла призвести до розкриття персональних даних клієнтів. Проблема була виявлена незалежним дослідником безпеки Робертом Віггінсом, який знайшов у вихідному коді програми заздалегідь прописаний пароль до внутрішньої бази даних, розміщеної на серверах компанії Salesforce.

Про це повідомляє TechCrunch

За даними дослідника, уразливість надавала доступ до бази, що містила імена, електронні адреси, номери членства та токени входу для авторизації користувачів. Віггінс зазначив, що база даних містила мільйони записів, однак точну кількість скомпрометованої інформації встановити не вдалося.

Our team has taken steps to address the issue. Our security teams have no evidence of any unauthorized access.

— Речник Wyndham

Компанія оперативно скасувала доступ за виявленими обліковими даними після звернення журналістів. Водночас представник готельної мережі відмовився коментувати, чи володіє компанія технічними засобами для перевірки того, чи здійснювався доступ до бази даних сторонніми особами до моменту виявлення вразливості. Також залишилося невідомим, протягом якого часу пароль містився у програмному забезпеченні та чи планує компанія повідомляти про інцидент регуляторів.

Роберт Віггінс наголосив на небезпеці використання жорстко закодованих облікових даних у публічних застосунках. За його словами, хоча вразливість була усунута, відсутність прозорості щодо минулих подій не дозволяє виключити можливість витоку даних у попередні періоди. Це не перший інцидент безпеки в мережі готелів: у 2024 році було виявлено використання шпигунського програмного забезпечення на комп’ютерах для реєстрації гостей у деяких готелях Wyndham.