Wyndham Hotels: Klantgegevensblootstelling Roept Zorgen Op Over Android App Beveiliging

Wyndham Hotels & Resorts, een van de grootste hotelgroepen ter wereld, staat opnieuw onder de loep vanwege zijn digitale beveiligingspraktijken na een kwetsbaarheid in de Android-applicatie die toegang gaf tot een interne database met klantinformatie.

Het voorval kwam aan het licht na een onderzoek door cybersecurityonderzoeker Robert Wiggins van What Security. Zijn ontdekking onthulde dat een wachtwoord rechtstreeks in de broncode van de mobiele applicatie van Wyndham was ingebed, waardoor iedereen die de inloggegevens kon extraheren verbinding kon maken met een interne database die op Salesforce werd gehost.

De blootgestelde informatie omvatte naar verluidt de namen van klanten, e-mailadressen en Wyndham-lidmaatschapsnummers. De database bevatte ook authenticatietokens, bekend als JSON Web Tokens (JWT's), waarmee gebruikers ingelogd kunnen blijven zonder hun wachtwoorden herhaaldelijk in te voeren.

De onderzoeker identificeerde ook bedrijfsdocumenten en andere bestanden binnen de toegankelijke database.

Miljoenen Database-invoeren Roepen Zorgen Op

Hoewel het exacte aantal getroffen klantrecords nog niet is vastgesteld, meldde Wiggins dat de database miljoenen invoeren bevatte. De omvang van de ontdekking heeft bijzondere aandacht getrokken gezien de uitgebreide internationale klantenbasis van Wyndham, met het bedrijf dat ongeveer 129 miljoen ingeschreven beloningsleden rapporteert.

De mogelijke blootstelling van authenticatietokens voegt een extra dimensie toe aan het voorval. In tegenstelling tot gewone contactinformatie kunnen deze digitale inloggegevens toegang tot gebruikersaccounts behouden, waardoor hun bescherming bijzonder belangrijk is.

Echter, er is momenteel geen bevestigd bewijs dat kwaadwillende actoren de kwetsbaarheid hebben misbruikt of klantinformatie zonder toestemming hebben benaderd.

Wyndham Herroept Blootgestelde Inloggegevens Na Kennisgeving

De beveiligingskwetsbaarheid werd aangepakt nadat TechCrunch contact opnam met Wyndham's cybersecurityteam over de bevindingen van de onderzoeker. Het bedrijf herroept vervolgens de gecompromitteerde inloggegevens, waardoor verdere toegang via het blootgestelde wachtwoord wordt voorkomen.

In een verklaring zei een woordvoerder van Wyndham dat het bedrijf corrigerende maatregelen had genomen en dat de beveiligingsteams geen bewijs van ongeautoriseerde toegang hadden gevonden.

Desondanks blijven belangrijke vragen onbeantwoord. Wyndham heeft niet verduidelijkt hoe lang het wachtwoord in de applicatie aanwezig was, of de systemen kunnen vaststellen of de database eerder door ongeautoriseerde partijen is benaderd, of klanten wiens informatie mogelijk is blootgesteld individuele meldingen zullen ontvangen.

Het bedrijf heeft ook niet gespecificeerd welke aanvullende technische maatregelen het van plan is in te voeren om soortgelijke incidenten te voorkomen.

Hardcoded Wachtwoorden Benadrukken Een Fundamentele Beveiligingsrisico

De kwetsbaarheid illustreert een bekend probleem in de ontwikkeling van applicaties: hardcoded inloggegevens. Deze praktijk houdt in dat wachtwoorden of andere gevoelige authenticatie-informatie rechtstreeks in softwarecode worden geplaatst die aan gebruikers wordt verspreid.

Aangezien mobiele applicaties kunnen worden onderzocht en omgekeerd kunnen worden geanalyseerd, creëert het inbedden van inloggegevens in publiek verspreide software een vermijdbare beveiligingszwakte. Eenmaal geëxtraheerd, kan dergelijke informatie mogelijk toegang bieden tot systemen die ontwikkelaars privé wilden houden.

Het voorval toont ook aan hoe kunstmatige intelligentie het onderzoek naar cybersecurity verandert. Wiggins gebruikte naar verluidt AI-gestuurde tools om de gedecompileerde applicatiecode te onderzoeken en zwakheden efficiënter te identificeren.

Dit was zijn tweede publiek gerapporteerde ontdekking van een soortgelijk beveiligingsprobleem binnen twee weken. Hij had eerder een vergelijkbare kwetsbaarheid in de mobiele applicatie van restaurantketen Applebee's geïdentificeerd, waarbij blootgestelde inloggegevens ook een risico voor klantinformatie creëerden.

Verantwoordelijke Openbaarmaking Blijft Een Uitdaging

De omstandigheden rond de ontdekking hebben ook vragen opgeroepen over hoe bedrijven communiceren met onafhankelijke beveiligingsonderzoekers.

Wiggins zei dat Wyndham geen gemakkelijk identificeerbaar kanaal bood voor het rapporteren van beveiligingskwetsbaarheden, wat hem ertoe bracht hulp te zoeken bij TechCrunch om contact te leggen met de cybersecurityafdeling van het bedrijf.

Na het voorval gaf Wyndham's cybersecuritydirecteur Michael Francess aan dat onderzoekers potentiële beveiligingszorgen kunnen indienen via het beveiligings-e-mailadres van het bedrijf.

De episode benadrukt het belang van het opzetten van toegankelijke procedures voor het openbaar maken van kwetsbaarheden, zodat onafhankelijke experts technische zwakheden kunnen rapporteren voordat ze kunnen worden misbruikt.

Eerdere Beveiligingszorgen Verhogen De Druk

Het laatste voorval volgt op een ander cybersecurity-gerelateerd probleem met Wyndham-eigendommen in 2024. Destijds ontdekten onderzoekers spionagesoftware voor externe toegang die op verschillende incheckcomputers van hotels draaide. De software zou naar verluidt screenshots hebben blootgesteld met gastrecords en reserveringsinformatie online.

De herhaling van beveiligingszorgen legt een grotere nadruk op de verantwoordelijkheid van de hotelindustrie om de persoonlijke informatie te beschermen die wordt verzameld via digitale reserveringen, loyaliteitsprogramma's en mobiele applicaties.

Nu hoteloperators steeds meer afhankelijk zijn van onderling verbonden platforms en cloudgebaseerde diensten, is het beveiligen van klantendatabases een essentieel onderdeel geworden van het behouden van consumentenvertrouwen.

Voor Wyndham vertegenwoordigt het herroepen van de blootgestelde inloggegevens een onmiddellijke reactie, maar de afwezigheid van duidelijke antwoorden over de historische toegang tot de database laat een belangrijk probleem onopgelost: of het bedrijf kan vaststellen dat klantinformatie beschermd bleef voordat de kwetsbaarheid werd ontdekt.