温德姆酒店App被曝硬编码凭证，客户数据暴露
来源标题：Hotel giant Wyndham exposed customer data after app security lapse
温德姆酒店Android应用源码中被发现硬编码密码，可访问Salesforce上的内部数据库，暴露客户姓名、邮箱、会员号及登录令牌等信息。研究员Wiggins称数据库有数百万条记录，但无法确定具体受影响客户数。温德姆未说明是否能排查此前的未授权访问。
以下正文由 AI 翻译自 TechCrunch（原文版权归原站所有），可能存在偏差，重要内容请以原文为准。
酒店及度假村巨头温德姆（Wyndham）在一位善意的安全研究员发现了一个可让任何人访问客户个人信息的漏洞后，承认了一起网络安全事件。
What Security 的安全研究员 Robert Wiggins 向 TechCrunch 独家透露，他在温德姆 Android 应用的源代码中发现了一个密码，该密码可授予对公司内部数据库的访问权限，该数据库由科技公司 Salesforce 托管。
Wiggins 告诉 TechCrunch，该凭证暴露了包括客户姓名、电子邮件地址和温德姆会员编号在内的个人信息。该数据库还存储了客户登录令牌（称为 JWT），使客户无需反复输入自己的密码即可保持登录应用状态。数据库中还包含温德姆的文件和文档。
据 Wiggins 称，该数据库有数百万条记录，但他无法确定暴露的客户记录的准确数量。温德姆宣称拥有约 1.29 亿注册奖励会员。
该研究员表示，温德姆没有报告安全漏洞的途径，并请求 TechCrunch 帮助提醒该公司。在 TechCrunch 联系温德姆网络安全人员后不久，暴露的凭证被撤销，阻止了对该数据库的任何进一步访问。
“我们的团队已采取措施解决该问题，”温德姆发言人告诉 TechCrunch。“我们的安全团队没有发现任何未经授权访问的证据，”声明补充道，但未提供有关该说法的进一步细节。
当被问及公司是否拥有技术手段（例如服务器日志）来确定在 Wiggins 发现之前是否有人访问过客户数据库时，温德姆发言人拒绝置评。
TechCrunch 还询问温德姆是否计划通知信息被暴露的客户，或向美国监管机构披露该事件，例如向美国证券交易委员会提交通知，因为上市公司被要求对重大网络安全事件进行此类披露。温德姆拒绝置评。
温德姆发言人还拒绝透露该密码在其客户应用中嵌入了多长时间，以及温德姆计划如何为该应用发布长期修复方案。
应用和软件开发人员通常避免在公开发布的软件和应用中包含密码或凭证——这一过程被称为“硬编码”——因为任何拥有软件副本的人都可以提取密码并使用它来访问其关联的服务器或数据库。鉴于任何人都可以轻易滥用凭证，许多硬编码凭证案例会被自动评定为最高漏洞严重性等级。
对 Wiggins 来说，这是他在两周内第二次公开发现硬编码凭证，此前他在 Applebee's 的应用中发现了几乎相同的漏洞，暴露了客户数据。Wiggins 在两次发现中都借助了 AI 工具，这些工具通过每秒扫描数千行反编译的应用代码，更容易识别诸如硬编码凭证之类的简单安全弱点。
当被问及温德姆的回应时，Wiggins 告诉 TechCrunch，他很高兴该公司修复了该问题，但指出在无法了解任何过往活动的情况下，怀有恶意的人可能已经泄露了大量客户的个人信息。
该公司拒绝透露是否计划建立漏洞披露计划，以允许外部安全研究员和黑客私下报告安全漏洞。
温德姆响应此次事件的网络安全总监 Michael Francess 告诉 TechCrunch，研究人员可以将潜在安全问题的详细信息发送至 [email protected] 进行提醒。该公司发言人拒绝透露是否计划更改其网站以允许研究人员提醒公司。
这是温德姆近年来已知的最新一起安全事件。2024 年，一位安全研究员发现温德姆多家酒店前台运行着远程访问间谍软件，该软件将客人记录和预订信息的截图泄露到开放网络上。
在我们报道后不久，酒店电脑上发现的名为 pcTattletale 的间谍软件应用遭到黑客攻击，其客户数据库被盗，迫使该公司所有者 Bryan Fleming 关闭公司。Fleming 曾是密歇根州居民，后来被联邦当局逮捕，并因制造、销售和宣传非法间谍软件而被定罪。
当您通过我们文章中的链接购买时，我们可能会赚取少量佣金。这不会影响我们的编辑独立性。
Zack Whittaker 安全编辑 可通过 Signal 加密消息联系他，账号为 zackwhittaker.1337。您也可以通过电子邮件联系他，或发送至 [email protected] 以核实联系。
11月4日 波士顿 买一送一 带上您的联合创始人或合作伙伴免费参加 TechCrunch 年度终极创始人训练营，覆盖更多内容 在买一送一优惠到期前预订 特斯拉将于 2027 年停止生产 Cybertruck Sean O'Kane Claude 现可通过其新的个人理财工具分析您的支出 Aisha Malik Harbinger 在扩展国防业务后筹集 2.4 亿美元 Sean O'Kane 公司称几乎没有人使用 AI 代理预订 Uber Sarah Perez Meta 收购 AI 编程初创公司 Conductor Lucas Ropek 随着电力等待时间增加，数据中心转向旧喷气发动机 Aditya Mehta 纽约市 Mamdani 批评麦迪逊广场花园所有者使用监控技术 Zack Whittaker
正文由 探How 从来源站点 RSS 同步，内容未经改写；遇到排版缺失或需要图片、视频时请以原文为准。