Одна з найбільших готельних мереж світу Wyndham визнала інцидент у сфері кібербезпеки після того, як незалежний дослідник виявив помилку в мобільному застосунку, що дозволяла будь-кому отримати доступ до персональних даних клієнтів. Про це повідомляє TechCrunch, якому дослідник ексклюзивно розповів про знахідку.
Фахівець з безпеки Роберт Віґґінс (Robert Wiggins) з компанії What Security знайшов пароль у вихідному коді Android-застосунку Wyndham. Ці облікові дані давали доступ до внутрішньої бази компанії, розміщеної на платформі Salesforce.
За словами Віґґінса, за допомогою цього пароля можна було отримати персональну інформацію клієнтів: імена, адреси електронної пошти та номери учасників програми лояльності Wyndham. У базі також зберігалися токени входу користувачів (JWT), які дозволяють залишатися авторизованими в застосунку без повторного введення пароля, а також внутрішні файли й документи Wyndham.
Дослідник зазначає, що база містила мільйони записів, але точної кількості потенційно скомпрометованих облікових записів він визначити не зміг. Компанія хвалиться приблизно 129 мільйонами зареєстрованих учасників програми винагород.
Як відреагував Wyndham
Віґґінс розповів, що Wyndham не має публічного механізму для повідомлення про вразливості, тому він звернувся по допомогу до TechCrunch, аби донести інформацію до компанії. Після контакту редакції з фахівцями з кібербезпеки Wyndham витіклі облікові дані оперативно відкликали, заблокувавши подальший доступ до бази.
«Наша команда вжила заходів для усунення проблеми», — заявив речник Wyndham у коментарі TechCrunch. За його словами, служби безпеки компанії «не мають доказів несанкціонованого доступу», але жодних технічних деталей, які підтверджували б цю заяву, компанія не надала.
На запитання, чи має Wyndham технічні можливості — наприклад, журнали доступу до серверів — щоб перевірити, чи не користувався хтось базою до виявлення уразливості Віґґінсом, речник відповіді не дав.
TechCrunch також поцікавився, чи планує компанія повідомити клієнтів, чиї дані могли бути відкриті, а також поінформувати американських регуляторів, зокрема подати повідомлення до Комісії з цінних паперів та бірж США, як це вимагається для суттєвих кіберінцидентів. На жодне з цих запитань Wyndham не відповіла.
Представник готельної мережі також відмовився уточнити, як довго пароль залишався вбудованим у застосунок, і не пояснив, як саме компанія планує реалізувати довгострокове виправлення.
Небезпека “жорстко вшитих” паролів
Розробники застосунків зазвичай уникають включення паролів чи інших облікових даних безпосередньо в публічні збірки програм — це називають “жорстким кодуванням” (hardcoding). Будь-хто, хто завантажить застосунок, може розібрати його код, витягнути такі секрети й використати їх для доступу до серверів чи баз даних.
Через простоту зловживання такими обліковими даними, випадки жорстко вшитих паролів часто автоматично отримують максимальний рівень критичності в системах оцінки вразливостей.
Для Віґґінса це вже друге подібне публічне відкриття за два тижні: перед цим він виявив майже ідентичну проблему в застосунку ресторанної мережі Applebee’s, де також були відкриті дані клієнтів.
У обох випадках дослідник використовував інструменти штучного інтелекту, які допомагають швидко знаходити прості вразливості на кшталт жорстко вшитих облікових даних, проглядаючи тисячі рядків декомпільованого коду щосекунди.
Коментуючи реакцію Wyndham, Віґґінс сказав, що радий тому, що компанія виправила проблему, але зазначив: без прозорості щодо минулої активності в системі хтось із зловмисними намірами міг непомітно викрасти великі обсяги персональних даних гостей.
Комунікація з дослідниками та минулі інциденти
На запитання, чи планує Wyndham створити формальну програму розкриття вразливостей, яка дозволила б стороннім експертам і “білим” хакерам конфіденційно повідомляти про проблеми безпеки, компанія відповіді не надала.
Директор з кібербезпеки Wyndham Майкл Франчес (Michael Francess), який координував реагування на інцидент, сказав TechCrunch, що дослідники можуть надсилати інформацію про потенційні проблеми безпеки на адресу електронної пошти security@wyndham.com. Водночас речник компанії не уточнив, чи змінюватимуть сайт, аби офіційно вказати цей канал для повідомлень.
Це не перший відомий інцидент безпеки, пов’язаний з мережею Wyndham останніми роками. У 2024 році інший дослідник виявив, що на кількох стійках реєстрації в готелях Wyndham працювало шпигунське ПЗ з віддаленим доступом, яке відправляло у відкритий доступ скриншоти з гостьовими записами та інформацією про бронювання.
Після публікації розслідування шпигунська програма pcTattletale, встановлена на цих комп’ютерах, сама стала жертвою хакерів: її сервери з даними клієнтів зламали, що в підсумку змусило власника сервісу Браяна Флемінґа (Bryan Fleming) закрити компанію. Згодом Флемінґа, колишнього жителя штату Мічиган, заарештували федеральні правоохоронці й засудили за створення, продаж та рекламу незаконного шпигунського ПЗ.