Готельний гігант Wyndham зіткнувся із серйозним інцидентом у сфері кібербезпеки. Дослідник безпеки Роберт Віггінс із компанії What Security виявив критичну вразливість у мобільному застосунку компанії для Android, яка дозволяла стороннім особам отримувати доступ до внутрішньої бази даних клієнтів.
Проблема полягала у так званому «жорсткому кодуванні» (hardcoding) — розробники залишили пароль безпосередньо у вихідному коді застосунку. Цей ключ доступу відкривав шлях до бази даних, яку хостила компанія Salesforce. За словами Віггінса, база містила мільйони записів, включаючи імена клієнтів, їхні електронні адреси та номери учасників програми лояльності. Крім того, у відкритому доступі опинилися токени авторизації (JWT), які дозволяють користувачам залишатися в системі без повторного введення пароля, а також внутрішні документи Wyndham.
Віггінс, який спеціалізується на пошуку вразливостей, зазначив, що для виявлення цієї помилки він використовував інструменти на базі штучного інтелекту. Вони дозволяють автоматично аналізувати тисячі рядків декомпільованого коду щосекунди, що значно спрощує пошук таких недоліків, як залишені розробниками паролі. Це вже друга подібна знахідка дослідника за останні два тижні; раніше він виявив ідентичну проблему в застосунку мережі ресторанів Applebee’s.
Після того, як Віггінс звернувся до редакції TechCrunch, журналісти зв’язалися з командою безпеки Wyndham. Невдовзі після цього скомпрометовані облікові дані були анульовані, що заблокувало несанкціонований доступ. Представник Wyndham заявив, що компанія вжила заходів для усунення проблеми, проте наголосив: «Наші команди безпеки не мають доказів будь-якого несанкціонованого доступу».
Компанія відмовилася коментувати, чи має вона технічні засоби, наприклад, журнали серверів, щоб перевірити, чи хтось отримував доступ до даних до того, як Віггінс виявив вразливість. Також Wyndham не надала чіткої відповіді на запитання, чи планує вона повідомляти клієнтів про інцидент або розкривати інформацію регуляторам, як того вимагають правила для публічних компаній у США.
Варто зазначити, що це не перший випадок проблем із безпекою у Wyndham за останні роки. У 2024 році стало відомо, що на комп’ютерах для реєстрації гостей у деяких готелях мережі було встановлено шпигунське програмне забезпечення pcTattletale. Воно передавало скриншоти записів гостей та інформацію про бронювання у відкритий доступ.
Наразі Wyndham не має офіційної програми розкриття вразливостей, яка б дозволяла стороннім дослідникам безпеки приватно повідомляти про помилки. Хоча директор із кібербезпеки компанії Майкл Франсесс зазначив, що дослідники можуть надсилати деталі на електронну пошту, представник Wyndham не зміг підтвердити, чи планує компанія створювати спеціалізований портал для таких повідомлень.
Джерела: techcrunch.com
