Wyndham анулювала облікові дані після виявлення пароля в додатку для Android, повідомляє TechCrunch.

Мережа готелів і курортів Wyndham ухвалила рішення про відкликання облікових даних, які були інтегровані в її Android-додаток, після того як фахівець з кібербезпеки виявив пароль у вихідному коді. За інформацією TechCrunch, цей пароль забезпечував доступ до внутрішньої бази даних компанії, яка розміщена на платформі Salesforce.

Які відомості могли бути в наявності

Дослідник Роберт Віггінс розповів журналістам, що з використанням цих облікових даних стало можливим отримати інформацію про імена клієнтів, їх електронні адреси та номери учасників програми лояльності Wyndham. У базі даних також містилися токени JWT, які дозволяють користувачам залишатися в системі без необхідності повторного введення пароля, а також різні файли та документи компанії.

Згідно з інформацією Віггінса, база даних містила мільйони записів, проте він не зміг встановити точну кількість клієнтських даних, які могли бути в доступі. Компанія Wyndham повідомляє, що приблизно 129 мільйонів осіб є учасниками їх програми лояльності.

Реакція Wyndham

Віггінс не зміг знайти спосіб донести інформацію про вразливість до Wyndham, тому звернувся за підтримкою до TechCrunch. Після того як редакція зв'язалася з експертами з кібербезпеки компанії, облікові дані були анульовані, що зупинило подальший доступ до бази даних.

Більше актуальних новин читайте у Telegram-каналі UA.News.

Представник компанії Wyndham зазначив, що організація вжила необхідних заходів для вирішення ситуації, і її служби безпеки не виявили жодних доказів несанкціонованого доступу. Проте компанія досі не надала інформації про наявність технічних можливостей, зокрема серверних журналів, для перевірки доступу до бази даних до моменту виявлення проблеми дослідником.

Віггінс підкреслив, що відсутність відомостей про попередню діяльність ускладнює можливість виключити, що злочинець міг отримати доступ до великої кількості персональних даних клієнтів. Компанія Wyndham також не надала деталей, чи має намір інформувати клієнтів, чиї дані могли бути скомпрометовані, а також як планує вирішувати цю проблему у майбутньому.

Включення паролів або інших облікових даних безпосередньо у публічні програми називається hardcoding. Цей метод підвищує ризики, оскільки будь-хто, хто має доступ до програми, може отримати пароль та скористатися ним для підключення до відповідного сервера або бази даних.