酒店巨头温德姆在应用程序安全漏洞后暴露客户数据

酒店和度假村巨头温德姆承认发生了网络安全事件，此前一名善意的安全研究人员发现了一个允许任何人访问客户个人信息的错误。 What Security 的安全研究员 Robert Wiggins 独家告诉 TechCrunch，他在 Wyndham Android 应用程序的源代码中发现了一个密码，该密码允许访问由科技公司 Salesforce 托管的公司内部数据库。威金斯告诉 TechCrunch，该凭证暴露了个人信息，包括客户姓名、电子邮件地址和温德姆会员号码。该数据库还存储客户登录令牌（称为 JWT），使客户无需重复输入自己的密码即可登录其应用程序。该数据库还包含温德姆档案和文档。威金斯表示，该数据库有数百万条条目，但他无法确定暴露的客户记录的准确数量。温德姆拥有约 1.29 亿注册奖励会员。研究人员表示，温德姆无法报告安全漏洞，并请求 TechCrunch 帮助向该公司发出警报。 TechCrunch 与温德姆的网络安全人员取得联系后不久，暴露的凭据就被撤销，从而阻止了对数据库的进一步访问。 “我们的团队已采取措施解决这个问题，”温德姆发言人告诉 TechCrunch。声明补充说：“我们的安全团队没有任何未经授权的访问的证据。”但没有提供有关该声明的任何进一步细节。当被问及该公司是否拥有服务器日志等技术手段来确定在威金斯被发现之前是否有人访问过客户数据库时，温德姆的发言人没有透露。 TechCrunch 还询问温德姆是否计划通知信息被泄露的客户，或向美国监管机构披露该事件，例如向美国证券交易委员会提交通知，就像上市公司应对重大网络安全事件所要求的那样。温德姆不肯说。温德姆的发言人也没有透露密码在其客户应用程序中嵌入了多长时间，也没有透露温德姆计划如何为该应用程序提供长期修复。应用程序和软件开发人员通常避免在公开发布的软件和应用程序中包含密码或凭据（这一过程称为“硬编码”），因为拥有该软件副本的任何人都可以提取密码并使用它来访问其关联的服务器或数据库。鉴于任何人都可以简单地滥用凭证，因此许多硬编码凭证都会自动根据最大漏洞严重性评级进行评分。对于 Wiggins 来说，这是他在两周内第二次公开发现硬编码凭据，此前他在 Applebee 的应用程序中发现了一个几乎相同的漏洞，该漏洞暴露了客户数据。威金斯依靠人工智能工具来完成这两项发现，通过每秒搜索数千行反编译的应用程序代码，可以更轻松地识别简单的安全漏洞，例如硬编码凭证。当被问及温德姆的回应时，威金斯告诉 TechCrunch，他很高兴该公司解决了这个问题，但他指出，如果无法了解任何过去的活动，怀有恶意的人可能会泄露大量客户的个人信息。该公司没有透露是否计划建立漏洞披露计划，以允许外部安全研究人员和黑客私下报告安全漏洞。对此事件做出回应的温德姆网络安全总监迈克尔·弗朗西斯 (Michael Francess) 告诉 TechCrunch，研究人员可以通过潜在安全问题的详细信息向 [email protected] 发出警报。该公司发言人不愿透露是否计划更改其网站以允许研究人员向该公司发出警报。这是温德姆酒店近年来已知的最新安全事件。 2024 年，一名安全研究人员发现温德姆酒店的几家登记柜台正在运行远程访问间谍软件，该软件会将宾客记录和预订信息的屏幕截图泄露到开放网络。在我们报道后不久，酒店计算机上发现的名为 pcTattletale 的间谍软件应用程序遭到黑客攻击，其客户数据银行被盗，迫使公司所有者布莱恩·弗莱明 (Bryan Fleming) 关闭公司。弗莱明曾是密歇根州居民，后来被联邦当局逮捕，并被判犯有制造、销售和广告非法间谍软件罪。