Wyndham ilova kodiga örnatilgan parol tufayli mijozlar ma'lumotlarini oşkor qildi

Ilova kodidagi parol mijozlar bazasiga kiriş imkonini oçib berdi

Mehmonxona tarmoği bölgan Wyndham giganti kiberxavfsizlik hodisasini tan oldi çunki tadqiqotçi yaxşi niyatda mijozlarning şaxsiy ma'lumotlariga istalgan kişiga kiriş imkonini beruvçi zaiflikni aniqladi. TechCrunch naşriga What Security kompaniyasidan tadqiqotçi Robert Uiggins aytışiça, u Wyndham'ning Android ilovasi manba kodida parolni topgan: bu hisob ma'lumotlari kompaniyaning Salesforce'da joylaşgan içki bazasiga kiriş imkonini berardi.

Aynan nimalar oçiq edi

Uigginsning aytışiça, hisob ma'lumotlari orqali mijozlarning ismlari, elektron poçta manzillari va Wyndham sodiqlik dasturi a'zolarining raqamlariga kiriş mumkin edi. Bazada şuningdek, login-tokenlar — JWT deb ataladigan tokenlar— saqlangan; ular ilovalarga har bir kirişda parol söramaslik imkonini beradi. Bundan taşqari, bazada kompaniyaning içki fayllari va hujjatları ham bor edi. Tadqiqotçi bazaning hajmini millionlab yozuv deb baholaydi, ammo ta'sir körsatgan mijozlarning aniq sonini aniqlay olmadi; Wyndham esa öz mukofot dasturida taqminan 129 million röyxatdan ötgan a'zo borligini ma'lum qiladi.

Kompaniyaning reaksiyasi va oçiq qolgan savollar

Tadqiqotçining aytışiça, Wyndham'da zaiflik haqida xabar beriş usuli yöq edi, şuning uçun u TechCrunch'dan yordam söradi. Kompaniya xavfsizlik xizmati xodimlari bilan aloqa örnatilgandan köp ötmay buzilgan parol orqali kiriş huquqi bekor qilindi. «Bizning jamoamiz muammoni bartaraf etiş uçun çora kördi», — dedi Wyndham vakili va «xavfsizlik jamoalarimizda ruqsatsiz kiriş belgileri yöq» deb qöşdi, biroq bu da'voni tasdiqlovçi heç qanday tafsilot keltirmadi. Kompaniyada aniqlanişidan oldin bazaga kimdir kirganmi yoki yöqmi — masalan, server jurnallari kabi — texnik vositalar bor-yöqligi haqidagi savolga vakil javob berişdan baş tortdi. Kompaniya şuningdek, ta'sir körsatilgan mijozlarni xabardor qiliş va AQŞ Qimmatli qoğozlar komissiyasiga bildirişnoma yuborişni rejalasştirayotgani haqida gapirmadi — bu muhim hodisalar yuz berganda oçiq kompaniyalar uçun majburiydir — parol qança vaqt ilovada turgani va uzoq muddatli tuzatiş qanday amalga oşirilişi haqida ham javob bermadi.

Kontekst: ikki haftadagi ikkinçi topilma va ötgan yilgi hodisa

Ommaviy tarqatiladigan dasturiy ta'minotga örnatilgan («zaxiralangan») parollar xavfli amaliyot hisoblanadi: ilovaning nusxasi bor har qanday kişi hisob ma'lumotlarini ajratib olib serverga kirişi mumkin, şu sababli bunday holatlar köpinça eng yuqori severity reytingini oladi. Uiggins uçun bu ikki hafta içida zaxiralangan hisob ma'lumotlarining ikkinçi ommaviy topilmasi böldi: ilgari u Applebee's restoranlar tarmoği ilovasida deyarli bir xil zaiflikni topgan ediu ham mijozlar ma'lumotlarini oşkor qilgan edi. Ikkala holatda ham u soniyasida dekorpilyatsiya qilingan kodning minglab qatorlarini köriş imkonini beruvçi sun'iy intellekt vositalaridan foydalanadi. Bu Wyndham uçun birinçi xavfsizlik hodisasi emas: 2024-yilda tadqiqotçi tarmoqdagi bir neçta mehmonxonalarning qabulxona stendlari şpion dasturiy ta'minoti ostida işlaganini aniqlagan edi pcTattletale mehmon yozuvlarining skrinşotlarini oçiq internetga oqizib turgan edi; matbuotda e'lon qilingandan söng ilovaning özi buzildi, kompaniya yopildi, uning egasi Bryan Fleming esa keyinçalik şpion dasturiy ta'minotini yaratış va sotiş uçun qamoqqa olinib, sud qilindi .