Viesnīcu tīkls Wyndham pēc drošības kļūdas lietotnē atklāja klientu datus
Viesnīcu un kūrortu uzņēmums Wyndham atzinis kiberdrošības incidentu: drošības pētnieks Android lietotnes kodā atrada paroli, kas deva piekļuvi klientu datu bāzei. Parole pēc TechCrunch iejaukšanās atsaukta, taču uzņēmums neatbild uz vairākiem jautājumiem par incidenta apmēriem.
Starptautiskais viesnīcu un kūrortu uzņēmums Wyndham ir atzinis kiberdrošības incidentu, kas saistīts ar tā Android lietotni. Drošības pētnieks Roberts Viginss (Robert Wiggins) no uzņēmuma What Security lietotnes pirmkodā atrada paroli, kas ļāva piekļūt uzņēmuma iekšējai datu bāzei, kura darbojas uz tehnoloģiju uzņēmuma Salesforce platformas. Par to viņš pastāstīja izdevumam TechCrunch.
Kādi dati bija pieejami
Pēc pētnieka teiktā, ar šo paroli bija iespējams redzēt klientu vārdus, e-pasta adreses un Wyndham dalībnieku numurus. Datu bāzē glabājās arī pieteikšanās žetoni (JWT), kas ļauj lietotājiem lietotnē palikt pieslēgtiem, atkārtoti neievadot paroli, kā arī uzņēmuma faili un dokumenti. Ierakstu bija miljoniem, taču precīzu skaitu pētnieks noteikt nevarēja. Wyndham norāda, ka tā lojalitātes programmā ir aptuveni 129 miljoni dalībnieku.
Viginss stāstīja, ka uzņēmumam nav kanāla, kur ziņot par drošības trūkumiem, tāpēc viņš lūdza palīdzību TechCrunch. Neilgi pēc tam, kad izdevums sazinājās ar Wyndham drošības speciālistiem, parole tika atsaukta un piekļuve datu bāzei pārtraukta.
Uzņēmuma atbilde
Wyndham pārstāvis norādīja, ka komanda ir veikusi pasākumus problēmas novēršanai un ka drošības speciālisti nav konstatējuši neatļautu piekļuvi, taču sīkāku informāciju nesniedza. Uzņēmums neatbildēja, vai tam ir tehniskas iespējas, piemēram, serveru žurnāli, lai noteiktu piekļuvi pirms atklājuma. Netika arī pateikts, vai klienti tiks informēti, vai incidents tiks paziņots ASV regulatoriem, tostarp Vērtspapīru un biržu komisijai, kā tas publiskiem uzņēmumiem jādara būtisku incidentu gadījumā. Pārstāvis nenosauca, cik ilgi parole bija lietotnē un kā tiks nodrošināts ilgtermiņa risinājums.
Uzņēmuma kiberdrošības direktors Maikls Fransess (Michael Francess) sacīja, ka pētnieki par iespējamām problēmām var ziņot uz norādīto e-pasta adresi. Vai tiks izveidota oficiāla ievainojamību paziņošanas programma, uzņēmums neteica.
Plašāks konteksts
Paroļu iestrādāšana lietotnēs, ko dēvē par "hardcoding", tiek uzskatīta par nevēlamu praksi, jo ikviens, kam ir lietotnes kopija, var tās izgūt un piekļūt saistītajam serverim. Šādi gadījumi bieži saņem augstāko ievainojamības novērtējumu. Viginss divu nedēļu laikā šādu trūkumu atklājis otro reizi — iepriekš gandrīz identisku problēmu viņš atrada restorānu tīkla Applebee's lietotnē. Abos gadījumos viņš izmantoja mākslīgā intelekta rīkus.
Wyndham drošības incidenti nav pirmie: 2024. gadā pētnieks atklāja, ka vairākos tā viesnīcu reģistratūras datoros darbojas spiegprogramma pcTattletale, kas noplūdināja viesu datu ekrānuzņēmumus. Vēlāk pati spiegprogramma tika uzlauzta, un tās īpašnieks Braiens Flemings (Bryan Fleming) slēdza uzņēmumu. Vēlāk viņu notiesāja par nelikumīgas spiegprogrammatūras izgatavošanu, pārdošanu un reklamēšanu.
