У застосунку Wyndham знайшли пароль до бази клієнтів
Корисне
Wyndham визнала інцидент безпеки у власному Android-застосунку, але не відповіла на ключове питання: чи заходив хтось у базу клієнтів до дослідника. Пароль до неї лежав у коді програми.
Що компанія відмовилась пояснити
Речник Wyndham заявив, що команда вжила заходів, а служби безпеки не мають доказів несанкціонованого доступу. Подробиць він не навів.
Коли журналісти спитали, чи може компанія за технічними даними, наприклад журналами серверів, дізнатися про доступ до бази до знахідки, речник відповідати не став. Так само він промовчав про те, чи сповістить компанія клієнтів, чиї дані були відкриті, і чи повідомить регуляторів у США, зокрема подасть повідомлення до SEC, як мусять робити публічні компанії при суттєвих кіберінцидентах.
Не назвав він і того, як довго пароль пролежав у застосунку та як компанія збирається випустити довготривале виправлення. Не сказав, чи запровадить програму розкриття вразливостей для зовнішніх дослідників.
Де лежав пароль і що відкривався
Пароль знайшов Роберт Віґґінс із What Security. Він побачив його у вихідному коді застосунку. Пароль давав доступ до внутрішньої бази компанії, яка розміщена в Salesforce.
За словами Віґґінса, у базі були імена клієнтів, адреси електронної пошти й номери учасників програми лояльності Wyndham. Там також зберігалися токени входу, так звані JWT: вони тримають клієнта авторизованим у застосунку, щоб не вводити пароль щоразу. Окрім того, у базі лежали файли й документи компанії.
За словами дослідника, записів було мільйони, але точної кількості виставлених даних клієнтів він визначити не зміг. Для порівняння, Wyndham хвалиться приблизно 129 мільйонами зареєстрованих учасників програми винагород.
Розробники зазвичай не вшивають паролі в код застосунків, і цей прийом називають «хардкодингом». Будь-хто з копією застосунку може дістати такий пароль і зайти на пов’язаний сервер чи базу. Через таку простоту зловживання багато подібних вразливостей автоматично отримують максимальну оцінку серйозності.
Як усе закрили
У Wyndham немає способу повідомити про вразливість, тож Віґґінс попросив допомоги в журналістів TechCrunch. Невдовзі після того, як видання зв’язалося зі службою кібербезпеки компанії, пароль відкликали. Далі доступ до бази закритий.
Директор з кібербезпеки Wyndham Майкл Френсіс, який займався інцидентом, сказав, що дослідники можуть писати про проблеми на окрему адресу. Чи змінить компанія сайт для таких звернень, речник не сказав.
Віґґінс сказав, що радий виправленню. Проте без видимості минулої активності зловмисник міг витягти велику кількість особистих даних клієнтів.
Другий схожий випадок за два тижні
Для Віґґінса це вже друге публічне відкриття вшитих паролів за два тижні. Майже ідентичну вразливість він знайшов у застосунку Applebee’s, де теж були відкриті дані клієнтів. В обох випадках дослідник користувався ШІ-інструментами: вони допомагають шукати прості слабкі місця, як-от вшиті паролі, у тисячах рядків декомпільованого коду щосекунди.
У Wyndham це не перший відомий інцидент безпеки за останні роки. У 2024 році дослідник знайшов на кількох готельних стійках реєстрації програму віддаленого доступу, що зливала у відкритий інтернет скриншоти з даними гостей і бронювань. Невдовзі після публікації цю програму, pcTattletale, зламали й викрали її базу клієнтів. Власнику компанії Браяну Флемінгу довелося закрити бізнес. Пізніше федеральні органи заарештували Флемінга, і його засудили за виготовлення, продаж і рекламу незаконного шпигунського ПЗ.
Джерело: TechCrunch