نشت اطلاعات مشتریان Wyndham به دلیل وجود رمز عبور سخت‌کد شده در اپلیکیشن اندروید
Hotel giant Wyndham exposed customer data after app security lapse
شرکت هتل‌داری Wyndham به دلیل وجود یک رمز عبور در کد منبع اپلیکیشن اندرویدی خود، با یک حادثه امنیتی مواجه شد که دسترسی غیرمجاز به پایگاه داده داخلی این شرکت را امکان‌پذیر می‌کرد. این آسیب‌پذیری توسط یک محقق امنیتی کشف و پس از اطلاع‌رسانی، توسط تیم امنیتی Wyndham مسدود شد.
جزئیات فنی و نحوه نفوذ
رابرت ویگینز، محقق امنیتی از What Security، با استفاده از ابزارهای هوش مصنوعی برای تحلیل کدهای دکامپایل شده اپلیکیشن، موفق به شناسایی یک رمز عبور سخت‌کد شده (Hardcoded) در کد منبع اپلیکیشن اندروید Wyndham شد. این رمز عبور دسترسی به یک پایگاه داده داخلی میزبانی شده در Salesforce را فراهم می‌کرد.
داده‌های در معرض خطر شامل نام مشتریان، آدرس‌های ایمیل، شماره عضویت و توکن‌های ورود (JWT) بود که امکان حفظ وضعیت ورود کاربران به اپلیکیشن را فراهم می‌کرد. علاوه بر این، فایل‌ها و اسناد داخلی شرکت نیز در این پایگاه داده ذخیره شده بود.
واکنش شرکت و ابهامات موجود
پس از تماس TechCrunch با تیم امنیتی Wyndham، رمز عبور مذکور ابطال شد. با این حال، سخنگوی Wyndham اعلام کرد که هیچ شواهدی مبنی بر دسترسی غیرمجاز پیش از کشف این حفره وجود ندارد، اما در پاسخ به این سوال که آیا شرکت ابزارهای فنی لازم (مانند لاگ‌های سرور) برای تایید این ادعا را در اختیار دارد، سکوت کرد.
این شرکت همچنین از پاسخ به سوالات در مورد مدت زمان وجود این رمز عبور در اپلیکیشن، برنامه‌ریزی برای اطلاع‌رسانی به مشتریان آسیب‌دیده و یا گزارش این حادثه به نهادهای نظارتی ایالات متحده خودداری کرد.
نکته‌های کلیدی
- کشف رمز عبور سخت‌کد شده در اپلیکیشن اندروید Wyndham توسط محقق امنیتی.
- دسترسی به پایگاه داده Salesforce حاوی اطلاعات شخصی میلیون‌ها عضو و توکن‌های JWT.
- عدم وجود برنامه رسمی برای گزارش‌دهی آسیب‌پذیری (Vulnerability Disclosure Program) در Wyndham.
- سابقه حوادث امنیتی در Wyndham، از جمله نشت اطلاعات از طریق نرم‌افزار جاسوسی pcTattletale در سال 2024.
چه باید کرد
- تغییر فوری رمز عبور و ابطال تمامی توکن‌های دسترسی (JWT) که ممکن است در معرض خطر قرار گرفته باشند.
- حذف تمامی اطلاعات حساس و رمزهای عبور از کدهای منبع اپلیکیشن‌ها و استفاده از مدیریت‌کننده‌های امن کلید.
- راه‌اندازی یک کانال رسمی و شفاف برای دریافت گزارش‌های امنیتی از سوی محققان مستقل.
- بررسی لاگ‌های دسترسی به پایگاه داده برای شناسایی هرگونه فعالیت مشکوک پیش از ابطال رمز عبور.