Исследователь в области безопасности Роберт Уиггинс из компании What Security сообщил изданию TechCrunch, что обнаружил пароль в исходном коде Android-приложения Wyndham, который предоставлял доступ к внутренней базе данных компании, размещенной на платформе Salesforce.
Уиггинс рассказал TechCrunch, что учетные данные раскрывали личную информацию, включая имена клиентов, адреса электронной почты и номера участников программы лояльности Wyndham. База данных также содержала токены входа клиентов (JWT), которые позволяют клиентам оставаться авторизованными в своих приложениях без необходимости повторного ввода паролей. Кроме того, в базе данных находились файлы и документы Wyndham.
По словам Уиггинса, база данных содержала миллионы записей, однако он не смог точно определить количество раскрытых данных клиентов. Wyndham заявляет о примерно 129 миллионах зарегистрированных участников программы лояльности.
Исследователь сообщил, что у Wyndham нет способа сообщать о проблемах безопасности, и попросил TechCrunch помочь в уведомлении компании. Вскоре после того, как TechCrunch связался с сотрудниками отдела кибербезопасности Wyndham, скомпрометированные учетные данные были отозваны, что предотвратило дальнейший доступ к базе данных.
«Наша команда предприняла шаги для решения этой проблемы», — сообщил представитель Wyndham изданию TechCrunch. «Наши службы безопасности не имеют доказательств несанкционированного доступа», — добавил он, не вдаваясь в дальнейшие подробности.
Представитель Wyndham отказался отвечать на вопрос о наличии у компании технических средств, таких как журналы сервера, для определения того, имел ли кто-либо доступ к базе данных клиентов до обнаружения Уиггинсом.
TechCrunch также поинтересовался у Wyndham, планирует ли компания уведомлять клиентов, чья информация была раскрыта, или сообщать об инциденте регулирующим органам США, например, подавать уведомление в Комиссию по ценным бумагам и биржам, как того требуют публичные компании в случае существенных инцидентов кибербезопасности. Wyndham не предоставил ответа.
Представитель Wyndham также не уточнил, как долго пароль был встроен в клиентское приложение, и как компания планирует внедрить долгосрочное решение для приложения.
Разработчики приложений и программного обеспечения, как правило, избегают включения паролей или учетных данных в общедоступное программное обеспечение и приложения — процесс, известный как «жесткое кодирование» — поскольку любой, у кого есть копия программного обеспечения, может извлечь пароль и использовать его для доступа к связанному серверу или базе данных. Учитывая простоту, с которой учетные данные могут быть использованы кем угодно, многие случаи жестко закодированных учетных данных автоматически получают максимальный рейтинг серьезности уязвимости.
Для Уиггинса это второе публичное обнаружение жестко закодированных учетных данных за две недели, после того как он нашел почти идентичную уязвимость в приложении Applebee’s, которая привела к раскрытию данных клиентов. Уиггинс использовал инструменты искусственного интеллекта для обоих открытий, которые облегчают выявление простых уязвимостей безопасности, таких как жестко закодированные учетные данные, путем сканирования тысяч строк декомпилированного кода приложения каждую секунду.
Отвечая на вопрос об реакции Wyndham, Уиггинс сообщил TechCrunch, что он рад, что компания устранила проблему, но отметил, что без информации о прошлой активности злоумышленник мог бы утечь большие объемы личной информации клиентов.
Компания не сообщила, планирует ли она создать программу раскрытия уязвимостей, чтобы позволить внешним исследователям безопасности и хакерам конфиденциально сообщать об уязвимостях безопасности.
Майкл Франсес, директор по кибербезопасности Wyndham, который отреагировал на инцидент, сообщил TechCrunch, что исследователи могут отправлять информацию о потенциальных проблемах безопасности по адресу security@wyndham.com. Представитель компании не уточнил, планирует ли компания изменить свой веб-сайт, чтобы позволить исследователям уведомлять компанию.
Это последний известный инцидент безопасности в Wyndham за последние годы. В 2024 году исследователь безопасности обнаружил, что несколько стоек регистрации в отелях Wyndham использовали шпионское ПО с удаленным доступом, которое передавало снимки экрана записей гостей и информации о бронировании в открытый интернет.
Вскоре после нашей публикации шпионское ПО, обнаруженное на компьютерах отелей и называемое pcTattletale, было взломано, а его банки данных клиентов украдены, что вынудило владельца компании Брайана Флеминга закрыть бизнес. Флеминг, бывший житель Мичигана, позже был арестован федеральными властями и осужден за создание, продажу и рекламу незаконного шпионского ПО.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Zack Whittaker
