Главное в материале

  • Исследователь Роберт Уиггинс нашёл захардкоженный пароль в исходном коде Android-приложения Wyndham, открывавший доступ к базе на Salesforce
  • База содержала имена, email, номера участников программы лояльности и логин-токены (JWT); всего у Wyndham около 129 млн участников
  • Компания заявляет об отсутствии признаков несанкционированного доступа, но не подтвердила наличие технических средств проверки

Пароль в коде приложения открыл доступ к базе клиентов

Сетевой отельный гигант Wyndham признал инцидент кибербезопасности после того, как исследователь в добрых намерениях обнаружил уязвимость, позволявшую любому желающему получить доступ к личным данным клиентов. Как сообщил TechCrunch исследователь Роберт Уиггинс из What Security, он нашёл пароль в исходном коде Android-приложения Wyndham: учётные данные открывали доступ к внутренней базе компании, размещённой у Salesforce.

Что именно было доступно

По словам Уиггинса, через учётные данные были доступны имена клиентов, адреса электронной почты и номера участников программы лояльности Wyndham. База также хранила логин-токены — так называемые JWT, — которые позволяют приложениям не запрашивать пароль при каждом входе, а также внутренние файлы и документы компании. Исследователь оценил объём базы в миллионы записей, но точное число затронутых клиентов определить не смог; при этом Wyndham заявляет о примерно 129 млн зарегистрированных участников программы вознаграждений.

Реакция компании и открытые вопросы

У Wyndham, по словам исследователя, не было способа сообщить об уязвимости, и он обратился за помощью к TechCrunch. Вскоре после контакта с сотрудниками службы безопасности компании доступ по скомпрометированному паролю был отозван. «Наша команда приняла меры для устранения проблемы», — заявил представитель Wyndham, добавив, что «у наших команд безопасности нет признаков несанкционированного доступа», без каких-либо деталей в подтверждение этого утверждения. На вопрос, есть ли у компании технические средства — например, журналы серверов, — чтобы установить, обращался ли кто-то к базе до обнаружения, представитель ответить отказался. Компания также не стала говорить, планирует ли уведомить затронутых клиентов и подать уведомление в Комиссию по ценным бумагам США, что обязательно для публичных компаний при существенных инцидентах, как долго пароль находился в приложении и как будет реализовано долгосрочное исправление.

Контекст: вторая находка за две недели и прошлогодний инцидент

Встроенные («захардкоженные») пароли в публично распространяемом ПО считаются опасной практикой: любой, у кого есть копия приложения, может извлечь учётные данные и получить доступ к серверу, поэтому такие случаи часто получают максимальный рейтинг severity. Для Уиггинса это уже второе публичное обнаружение захардкоженных учётных данных за две недели: ранее он нашёл почти идентичную уязвимость в приложении сети ресторанов Applebee’s, также раскрывшую данные клиентов. В обоих случаях он использовал ИИ-инструменты, которые позволяют просматривать тысячи строк декомпилированного кода в секунду. Это не первый инцидент безопасности у Wyndham: в 2024 году исследователь обнаружил, что стойки регистрации нескольких отелей сети работали под шпионским ПО pcTattletale, сливавшим скриншоты гостевых записей в открытый интернет; после публикаций в прессе само приложение взломали, компанию закрыли, а её владельца Брайана Флеминга позже арестовали и осудили за создание и продажу шпионского ПО.