Wyndham визнала інцидент із доступом до даних клієнтів через застосунок

Мережа готелів і курортів Wyndham визнала кіберінцидент після того, як дослідник безпеки виявив у її Android-застосунку вбудований пароль, що надавав доступ до внутрішньої бази даних компанії. Як повідомляє TechCrunch, база була розміщена на платформі Salesforce і містила персональні відомості клієнтів.

Які дані були доступні

Дослідник Роберт Віггінс із What Security повідомив, що знайшов облікові дані у вихідному коді застосунку. За його словами, доступними були імена клієнтів, адреси електронної пошти та номери учасників програми лояльності Wyndham. У базі також зберігалися токени входу JWT, які дають змогу користувачам залишатися авторизованими у застосунках без повторного введення пароля, а також файли й документи Wyndham.

Віггінс заявив, що база містила мільйони записів, однак він не зміг визначити точну кількість даних клієнтів, яких міг стосуватися інцидент. Wyndham повідомляє про приблизно 129 мільйонів зареєстрованих учасників своєї програми винагород.

Реакція Wyndham

Після звернення журналістів до фахівців Wyndham із кібербезпеки компанія відкликала скомпрометовані облікові дані, припинивши подальший доступ до бази. Представник Wyndham заявив, що команда вжила заходів для усунення проблеми та не має доказів несанкціонованого доступу.

Вбудовування паролів або інших облікових даних у публічно доступне програмне забезпечення називають hardcoding. Такий підхід створює ризик, оскільки будь-хто, хто має копію застосунку, може вилучити ці дані та використати їх для доступу до пов'язаного сервера чи бази даних.

Канал для повідомлень про вразливості

За даними видання, Віггінс не знайшов способу повідомити Wyndham про вразливість і попросив журналістів допомогти зв'язатися з компанією. Директор Wyndham із кібербезпеки Майкл Франсесс повідомив, що дослідники можуть надсилати відомості про потенційні проблеми безпеки на адресу [email protected].