Гостиничный гигант Wyndham раскрыл данные клиентов из-за уязвимости в приложении

Гостиничная и курортная компания Wyndham признала инцидент кибербезопасности, связанный с её Android-приложением. Исследователь по безопасности Роберт Виггинс (Robert Wiggins) из What Security рассказал TechCrunch, что обнаружил в исходном коде приложения пароль, который открывал доступ к внутренней базе данных компании, размещённой у технологической компании Salesforce.

Какие данные были доступны

По словам Виггинса, с помощью этого пароля можно было увидеть имена клиентов, адреса электронной почты и номера участников программы Wyndham. В базе также хранились токены входа (JWT), позволяющие оставаться авторизованным в приложении без повторного ввода пароля, а также файлы и документы компании. Записей было миллионы, но точное число затронутых записей исследователь определить не смог. По данным Wyndham, в её программе лояльности около 129 миллионов участников.

Исследователь сообщил, что у Wyndham нет способа сообщать об уязвимостях, поэтому он попросил TechCrunch помочь предупредить компанию. Вскоре после того, как издание связалось со специалистами Wyndham по кибербезопасности, пароль был отозван, и доступ к базе прекратили.

Ответ компании

Представитель Wyndham заявил, что команда приняла меры для устранения проблемы и что службы безопасности не располагают свидетельствами несанкционированного доступа, не приведя подробностей. Компания не ответила, есть ли у неё технические возможности, например серверные журналы, чтобы выяснить, обращался ли кто-то к базе до находки исследователя. Не было сказано и о том, уведомят ли клиентов и сообщат ли об инциденте американским регуляторам, в частности Комиссии по ценным бумагам и биржам, которой публичные компании обязаны сообщать о существенных инцидентах. Не названо и то, как долго пароль находился в приложении и как будет выпущено долгосрочное исправление.

Директор Wyndham по кибербезопасности Майкл Фрэнсесс (Michael Francess) сказал, что исследователи могут сообщать о возможных проблемах на указанный адрес электронной почты. Планирует ли компания создать формальную программу раскрытия уязвимостей, не уточнили.

Более широкий контекст

Встраивание паролей в публично распространяемые приложения, так называемый «хардкодинг», считается нежелательной практикой: любой, у кого есть копия приложения, может извлечь пароль и получить доступ к связанному серверу или базе. Такие случаи нередко получают максимальную оценку опасности. Для Виггинса это второе подобное открытие за две недели: ранее он нашёл почти такую же уязвимость в приложении сети ресторанов Applebee's. В обоих случаях он использовал инструменты искусственного интеллекта.

Это не первый инцидент в Wyndham. В 2024 году исследователь обнаружил, что на нескольких стойках регистрации отелей Wyndham работала шпионская программа pcTattletale, которая сливала снимки экрана с данными о гостях. Позже саму программу взломали, а её владелец Брайан Флеминг (Bryan Fleming) закрыл компанию. Впоследствии его осудили за изготовление, продажу и рекламу незаконного шпионского ПО.