Wyndham unieważnił dane uwierzytelniające po wykryciu hasła w aplikacji na Androida — TechCrunch

Sieć hoteli i kurortów Wyndham unieważniła dane uwierzytelniające wbudowane w jej aplikację na Androida po tym, jak badacz cyberbezpieczeństwa wykrył hasło w kodzie źródłowym. Jak informuje TechCrunch, hasło zapewniało dostęp do wewnętrznej bazy danych firmy hostowanej na platformie Salesforce.

Jakie dane mogły być dostępne

Badacz Robert Wiggins powiedział redakcji, że za pomocą tych danych uwierzytelniających można było uzyskać dostęp do nazwisk klientów, adresów e-mail oraz numerów członkowskich programu lojalnościowego Wyndham. W bazie przechowywano również tokeny logowania JWT, które pozwalają użytkownikom pozostać zalogowanymi w aplikacjach bez ponownego wpisywania hasła, a także pliki i dokumenty firmy.

Według Wigginsa baza zawierała miliony rekordów, jednak nie był on w stanie określić dokładnej liczby rekordów klientów, które mogły być dostępne. Wyndham podaje, że ma około 129 mln zarejestrowanych członków swojego programu nagród.

Reakcja Wyndham

Wiggins nie znalazł sposobu, aby powiadomić Wyndham o podatności, i zwrócił się o pomoc do TechCrunch. Po tym, jak redakcja skontaktowała się ze specjalistami firmy ds. cyberbezpieczeństwa, dane uwierzytelniające unieważniono, co zakończyło dalszy dostęp do bazy.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Przedstawiciel Wyndham powiedział, że firma podjęła działania w celu rozwiązania problemu, a jej zespoły bezpieczeństwa nie mają dowodów na nieuprawniony dostęp. Jednocześnie firma nie odpowiedziała, czy ma możliwości techniczne, w tym logi serwerowe, aby zweryfikować dostęp do bazy przed wykryciem problemu przez badacza.

Wiggins zaznaczył, że bez informacji o wcześniejszej aktywności nie można wykluczyć, iż atakujący mógł skopiować znaczną ilość danych osobowych klientów. Wyndham nie sprecyzował również, czy planuje powiadomić klientów, których dane mogły być dostępne, ani jak zamierza rozwiązać problem w aplikacji w dłuższej perspektywie.

Osadzanie haseł lub innych danych uwierzytelniających w publicznie dostępnych aplikacjach nazywa się hardcodingiem. Takie podejście stwarza ryzyko, ponieważ osoba posiadająca kopię aplikacji może potencjalnie wyodrębnić hasło i wykorzystać je do uzyskania dostępu do powiązanego serwera lub bazy danych.