نشت اطلاعات مشتریان در Wyndham؛ هشدار امنیتی به دلیل سهل‌انگاری در اپلیکیشن

غول هتل‌داری و اقامتگاهی Wyndham اخیراً با یک حادثه جدی امنیت سایبری مواجه شد. «رابرت ویگینز»، پژوهشگر امنیتی، موفق شد یک رمز عبور را در کدهای منبع اپلیکیشن اندرویدی Wyndham کشف کند که به هر کسی اجازه می‌داد به پایگاه داده داخلی شرکت در پلتفرم Salesforce دسترسی پیدا کند. این پایگاه داده حاوی اطلاعات شخصی مشتریان از جمله نام، ایمیل، شماره عضویت در Wyndham و توکن‌های ورود (JWT) بود که به کاربران اجازه می‌دهد بدون نیاز به وارد کردن مجدد رمز عبور، در اپلیکیشن فعال باقی بمانند.

اگرچه تعداد دقیق رکوردهای فاش شده مشخص نیست، اما این پایگاه داده حاوی میلیون‌ها ورودی بوده است. این در حالی است که Wyndham حدود ۱۲۹ میلیون عضو در برنامه پاداش‌دهی خود دارد. رابرت ویگینز که با استفاده از ابزارهای هوش مصنوعی به دنبال حفره‌های امنیتی می‌گشت، پیش از این نیز مورد مشابهی را در اپلیکیشن Applebee’s کشف کرده بود. پس از تماس این پژوهشگر و هماهنگی‌های لازم، دسترسی غیرمجاز به پایگاه داده توسط Wyndham مسدود شد.

سخنگوی Wyndham اعلام کرده که تیم امنیتی آن‌ها اقداماتی برای رفع مشکل انجام داده و هیچ شواهدی مبنی بر سوءاستفاده غیرمجاز از این داده‌ها پیدا نکرده است. با این حال، این شرکت از پاسخ به این سوال که آیا ابزارهای فنی برای ردیابی دسترسی‌های گذشته دارد یا خیر، خودداری کرد. این شرکت همچنین شفاف‌سازی نکرد که آیا قصد دارد مشتریان آسیب‌دیده یا نهادهای نظارتی مانند کمیسیون بورس و اوراق بهادار آمریکا (SEC) را در جریان جزئیات این حادثه قرار دهد یا خیر.

این اولین باری نیست که Wyndham با مسائل امنیتی دست‌وپنج نرم می‌کند. در سال ۲۰۲۴ نیز گزارشی از وجود نرم‌افزارهای جاسوسی در کامپیوترهای پذیرش هتل‌های این برند منتشر شد که اطلاعات مهمانان را به سرقت می‌برد. استفاده از روش‌های ناامن مانند قرار دادن رمز عبور در کدهای برنامه‌نویسی (Hardcoding) یکی از بزرگترین خطاهای امنیتی در تولید نرم‌افزار محسوب می‌شود که حالا منجر به یکی دیگر از حوادث امنیتی این شرکت شده است.