A Wyndham ügyféladatai kiszivárogtak egy mobilapp biztonsági hibája miatt
A Wyndham szálloda- és üdülőóriás beismerte, hogy biztonsági incidens történt, miután Robert Wiggins, a What Security kutatója a cég Android-alkalmazásának forráskódjában beégetett jelszót talált. A hitelesítő adat a Salesforce-en üzemeltetett belső céges adatbázishoz adott hozzáférést, ahonnan ügyfélnév, e-mail-cím, Wyndham-tagsági szám, valamint a bejelentkezést fenntartó JWT-tokenek voltak kinyerhetők; az adatbázis céges fájlokat és dokumentumokat is tárolt. Wiggins szerint több millió bejegyzés volt benne, de a pontosan érintett ügyfelek számát nem tudta megállapítani; a Wyndham körülbelül 129 millió hűségprogramba jelentkezett tagot hirdet. A kutatónak nem volt hivatalos hibabejelentő útja, ezért a TechCrunch értesítette a cég kiberbiztonsági stábját, amely ezt követően visszavonta a kiszivárgott jelszót. A szóvivő szerint lépéseket tettek, és „nincs bizonyíték jogosulatlan hozzáférésre”, de nem közölték, van-e naplójuk a Wiggins felfedezése előtti időszakról, értesítik-e az ügyfeleket, bejelentik-e az esetet az amerikai tőzsdefelügyeletnek, meddig volt a jelszó az appban, és milyen tartós javítást terveznek. Wiggins két héten belül másodszor talált hasonló, mesterséges intelligenciával is támogatott beégetett jelszót (korábban az Applebee’s appjában). Michael Franess, a Wyndham kiberbiztonsági igazgatója a kutatóknak a [email protected] címet ajánlotta. 2024-ben kutatók a check-in pultok pcTattletale kémprogramját is dokumentálták, amely vendégadatokat szivárogtatott.
Folytasd az appban — szavazz és szólj hozzá ➔