Гостиничная компания Wyndham подтвердила факт инцидента в сфере кибербезопасности. Уязвимость обнаружил исследователь Роберт Уиггинс, который изучил исходный код приложения Wyndham для Android. Как сообщил TechCrunch, в коде находился пароль, открывавший доступ к внутренней базе данных компании на платформе Salesforce.
В базе хранились имена клиентов, адреса электронной почты и номера участников программы Wyndham. Там же находились токены авторизации пользователей, позволяющие оставаться в приложении без повторного ввода пароля, а также файлы и документы компании. По словам Уиггинса, база содержала миллионы записей, однако установить точное количество затронутых клиентов ему не удалось.
Исследователь заявил, что у Wyndham не было понятного механизма для сообщения о подобных проблемах, поэтому он обратился за помощью к TechCrunch. Вскоре после контакта журналистов с сотрудниками службы кибербезопасности компании скомпрометированный пароль отключили, и доступ к базе прекратился. Представитель Wyndham сообщил TechCrunch: «Наша команда предприняла шаги для устранения проблемы. У наших специалистов по безопасности нет доказательств несанкционированного доступа».
Компания не уточнила, есть ли у нее техническая возможность проверить журналы серверов и выяснить, обращался ли кто-либо к базе до обнаружения уязвимости. Wyndham также не сообщила, будет ли уведомлять клиентов и американские регулирующие органы, включая Комиссию по ценным бумагам и биржам США. Кроме того, представители компании не рассказали, как долго пароль находился в приложении и каким образом будет подготовлено постоянное исправление.
Размещение паролей непосредственно в открыто распространяемом программном обеспечении называют жестким кодированием. Такой пароль можно извлечь из приложения и использовать для подключения к связанному серверу или базе данных, из-за чего подобные ошибки часто получают максимальный уровень опасности. Уиггинс также сообщил TechCrunch, что применял инструменты искусственного интеллекта при поиске этой и другой аналогичной уязвимости, а Wyndham заявила о возможности направлять сведения о потенциальных проблемах на специальный адрес электронной почты.