Wyndham отозвала учетные данные после обнаружения пароля в Android-приложении — TechCrunch
Сеть отелей и курортов Wyndham отозвала учетные данные, встроенные в ее Android-приложение, после того как исследователь кибербезопасности обнаружил пароль в исходном коде. Как сообщает TechCrunch, пароль предоставлял доступ к внутренней базе данных компании, размещенной на платформе Salesforce.
Какие данные могли быть доступны
Исследователь Роберт Виггинс сообщил изданию, что с помощью этих учетных данных можно было получить доступ к именам клиентов, адресам электронной почты и номерам участников программы лояльности Wyndham. В базе также хранились токены входа JWT, которые позволяют пользователям оставаться авторизованными в приложениях без повторного ввода пароля, а также файлы и документы компании.
По словам Виггинса, база содержала миллионы записей, однако он не смог определить точное количество клиентских записей, которые могли быть доступны. Wyndham заявляет о примерно 129 млн зарегистрированных участниках своей программы вознаграждений.
Реакция Wyndham
Виггинс не нашел способа сообщить Wyndham об уязвимости и обратился за помощью к TechCrunch. После того как издание связалось со специалистами компании по кибербезопасности, учетные данные были отозваны, что прекратило дальнейший доступ к базе.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Представитель Wyndham сообщил, что компания приняла меры для устранения проблемы, а ее службы безопасности не имеют доказательств несанкционированного доступа. В то же время компания не ответила, располагает ли она технической возможностью, в частности журналами серверов, чтобы проверить доступ к базе до обнаружения проблемы исследователем.
Виггинс отметил, что без информации о предыдущей активности невозможно исключить, что злоумышленник мог скопировать значительный объем персональной информации клиентов. Wyndham также не уточнила, планирует ли уведомлять клиентов, чьи данные могли быть доступны, и как будет устранять проблему в приложении в долгосрочной перспективе.
Встраивание паролей или других учетных данных в общедоступные приложения называют хардкодингом. Такой подход создает риск, поскольку человек с копией приложения потенциально может извлечь пароль и использовать его для доступа к связанному серверу или базе данных.
