Wyndham відкликала облікові дані після виявлення пароля в Android-застосунку — TechCrunch
Мережа готелів і курортів Wyndham відкликала облікові дані, вбудовані в її Android-застосунок, після того як дослідник кібербезпеки виявив пароль у вихідному коді. Як повідомляє TechCrunch, пароль надавав доступ до внутрішньої бази даних компанії, розміщеної на платформі Salesforce.
Які дані могли бути доступними
Дослідник Роберт Віггінс повідомив виданню, що за допомогою цих облікових даних можна було отримати доступ до імен клієнтів, адрес електронної пошти та номерів учасників програми лояльності Wyndham. У базі також зберігалися токени входу JWT, які дають змогу користувачам залишатися авторизованими в застосунках без повторного введення пароля, а також файли й документи компанії.
За словами Віггінса, база мала мільйони записів, однак він не зміг визначити точну кількість клієнтських записів, які могли бути доступними. Wyndham заявляє про приблизно 129 млн зареєстрованих учасників своєї програми винагород.
Реакція Wyndham
Віггінс не знайшов способу повідомити Wyndham про вразливість і звернувся по допомогу до TechCrunch. Після того як видання зв’язалося з фахівцями компанії з кібербезпеки, облікові дані відкликали, що припинило подальший доступ до бази.
Більше актуальних новин читайте у Telegram-каналі UA.News.
Представник Wyndham повідомив, що компанія вжила заходів для усунення проблеми, а її служби безпеки не мають доказів несанкціонованого доступу. Водночас компанія не відповіла, чи має технічну можливість, зокрема журнали серверів, щоб перевірити доступ до бази до виявлення проблеми дослідником.
Віггінс зазначив, що без інформації про попередню активність неможливо виключити, що зловмисник міг скопіювати значний обсяг персональної інформації клієнтів. Wyndham також не уточнила, чи планує повідомляти клієнтів, чиї дані могли бути доступними, та як усуватиме проблему в застосунку в довгостроковій перспективі.
Вбудовування паролів або інших облікових даних у публічно доступні застосунки називають hardcoding. Такий підхід створює ризик, оскільки особа з копією застосунку потенційно може вилучити пароль і використати його для доступу до пов’язаного сервера або бази даних.
