Готельний гігант Wyndham розкрив дані клієнтів після збою в безпеці додатка

Гігант готельного та курортного бізнесу Wyndham визнав інцидент у сфері кібербезпеки після того, як добросовісний дослідник безпеки виявив помилку, яка дозволяла будь-кому отримувати доступ до особистої інформації клієнтів.

Дослідник безпеки Роберт Віггінс з What Security ексклюзивно розповів TechCrunch, що він знайшов пароль у вихідному коді Android-додатку Wyndham, який надавав доступ до внутрішньої бази даних компанії, розміщеної технологічною компанією Salesforce.

Віггінс розповів TechCrunch, що облікові дані розкривали особисту інформацію, включаючи імена клієнтів, адреси електронної пошти та номери учасників Wyndham. База даних також зберігає токени входу клієнтів ( так звані JWT ), які дозволяють клієнтам входити в свої додатки без необхідності повторного введення власних паролів. База даних також містила файли та документи Wyndham.

За словами Віггінса, база даних містила мільйони записів, але він не зміг визначити точну кількість розкритих записів клієнтів. Wyndham рекламує близько 129 мільйонів зареєстрованих учасників програми винагород.

Дослідник заявив, що Wyndham не має можливості повідомляти про недоліки безпеки, і звернувся до TechCrunch з проханням допомогти повідомити компанію. Невдовзі після того, як TechCrunch зв’язався зі співробітниками Wyndham з кібербезпеки, розкриті облікові дані були відкликані, що перешкоджало будь-якому подальшому доступу до бази даних. 

«Наша команда вжила заходів для вирішення проблеми», – повідомив речник Wyndham виданню TechCrunch. «Наші команди безпеки не мають жодних доказів будь-якого несанкціонованого доступу», – додається в заяві без надання будь-яких додаткових подробиць щодо цієї заяви. 

Речник Wyndham не відповів, коли його запитали, чи мала компанія технічні засоби, такі як журнали сервера, щоб визначити, чи мав хтось доступ до бази даних клієнтів до того, як Віггінс зробив викриття.

TechCrunch також запитав у Wyndham, чи планує компанія повідомити клієнтів, чия інформація була розкрита, або розкрити інцидент американським регуляторам, наприклад, подати повідомлення до Комісії з цінних паперів та бірж США, як це вимагають публічні компанії у випадку суттєвих інцидентів кібербезпеки. Wyndham не уточнив.

Речник Wyndham також не повідомив, як довго пароль був вбудований у клієнтський додаток, або як Wyndham планує розробити довгострокове виправлення для додатка.

Розробники додатків і програмного забезпечення зазвичай уникають включення паролів або облікових даних до публічно випущеного програмного забезпечення та додатків — цей процес відомий як «жорстке кодування» — оскільки будь-хто, хто має копію програмного забезпечення, може отримати пароль і використовувати його для доступу до пов’язаного з ним сервера або бази даних. З огляду на простоту, з якою облікові дані можуть бути зловмисними, багато випадків жорстко закодованих облікових даних автоматично оцінюються з максимальним рейтингом серйозності вразливості.

Для Віггінса це вже друге публічне відкриття жорстко закодованих облікових даних за два тижні після того, як він виявив майже ідентичну вразливість у додатку Applebee , яка розкрила дані клієнтів. Віггінс покладався на інструменти штучного інтелекту для обох відкриттів, які полегшують виявлення простих вразливостей безпеки, таких як жорстко закодовані облікові дані, шляхом перевірки тисяч рядків декомпільованого коду додатка щосекунди.

Коли Віггінса запитали про реакцію Віндхема, він сказав TechCrunch, що він радий, що компанія виправила проблему, але зазначив, що без відома про будь-яку попередню активність хтось зі злим наміром міг би розкрити велику кількість особистої інформації клієнтів.

Компанія не повідомила, чи планує створити програму розкриття інформації про вразливості, щоб дозволити зовнішнім дослідникам безпеки та хакерам приватно повідомляти про вразливості безпеки. 

Майкл Френсесс, директор з кібербезпеки Wyndham, який відреагував на інцидент, повідомив TechCrunch, що дослідники можуть надсилати на адресу security@wyndham.com інформацію про потенційні проблеми безпеки. Речник компанії не повідомив, чи планує вона змінити свій вебсайт, щоб дозволити дослідникам повідомляти компанію. 

Це останній відомий інцидент безпеки в готелі Wyndham за останні роки. У 2024 році дослідник з безпеки виявив, що на кількох стійках реєстрації готелів Wyndham працювало шпигунське програмне забезпечення з віддаленим доступом, яке витікало скріншоти записів гостей та інформацію про бронювання у відкритий інтернет. 

Невдовзі після нашого повідомлення шпигунський додаток pcTattletale, знайдений на комп'ютерах готелю, був зламаний , а його банки даних клієнтів викрадені, що змусило власника компанії, Браяна Флемінга, закрити її. Флемінга, колишнього мешканця Мічигану, пізніше заарештували федеральні органи влади та визнали винним у створенні, продажу та рекламі незаконного шпигунського програмного забезпечення.