اطلاعات مشتریان غول هتل‌داری جهان در معرض خطر قرار گرفت

یک پژوهشگر امنیتی از وجود رمز عبور دیتابیس در کدهای اپلیکیشن اندروید هتل‌های ویندهام و افشای اطلاعات مسافران خبر داد.

مجموعه هتل‌ها و اقامتگاه‌های ویندهام با تأیید وقوع یک حادثه سایبری، دسترسی آزاد به اطلاعات حساس مشتریان از طریق نقص فنی در نرم‌افزار خود را پذیرفت. یک پژوهشگر امنیتی با بررسی کدهای برنامه اندروید متوجه شد که امکان دسترسی همگانی به پایگاه داده داخلی شرکت وجود داشته است.

رابرت ویگینز ، پژوهشگر مؤسسه‌ی امنیتی وات سکیوریتی، یک رمز عبور هاردکدشده را درون سورس‌کد اپلیکیشن اندروید ویندهام شناسایی کرد . اعتبارنامه یادشده دسترسی مستقیم به دیتابیس داخلی را که روی سرورهای سیلزفورس میزبانی می‌شد، برای هر فردی فراهم می‌کرد.

داده‌های فاش‌شده شامل نام مسافران، نشانی ایمیل و شماره عضویت باشگاه مشتریان است. دیتابیس علاوه بر فایل‌ها و اسناد داخلی شرکت، توکن‌های ورود مسافران موسوم به JWT را نیز نگهداری می‌کرد که کاربران را بدون نیاز به ورود مجدد رمز، متصل نگه می‌دارد. ویندهام حدود ۱۲۹ میلیون عضو ثبت‌شده در طرح وفاداری دارد و میلیون‌ها رکورد در معرض افشا قرار گرفته بودند.

سخنگوی ویندهام، نماینده‌ی رسمی شرکت، گفت: «تیم ما اقداماتی برای برطرف کردن این مشکل انجام داده است. تیم‌های امنیتی ما هیچ شواهدی از دسترسی غیرمجاز در دست ندارند.»

نماینده شرکت از پاسخ به پرسش‌ها درباره زمان قرارگیری رمز در کدها، ثبت گزارش در کمیسیون بورس و اوراق بهادار آمریکا یا وجود لاگ‌های فنی برای بررسی سوءاستفاده‌های احتمالی گذشته خودداری کرد. پژوهشگر امنیتی با بهره‌گیری از ابزارهای هوش مصنوعی موفق به کشف این نقص فنی شد؛ اما نبود سازوکار رسمی گزارش آسیب‌پذیری در ویندهام، اعلام خطر را به تاخیر انداخته بود. مایکل فرانسیس، مدیر امنیت سایبری ویندهام، اعلام کرد پژوهشگران می‌توانند موارد مشکوک را از طریق ایمیل گزارش دهند.