غول هتل Wyndham اطلاعات مشتریان را پس از نقص امنیتی برنامه افشا کرد

Wyndham غول هتل‌ها و استراحتگاه‌ها پس از اینکه یک محقق امنیتی با حسن نیت متوجه اشکالی شد که به هر کسی اجازه دسترسی به اطلاعات شخصی مشتریان را می‌داد، به یک حادثه امنیت سایبری اعتراف کرد.

محقق امنیتی رابرت ویگینز در What Security به طور انحصاری به TechCrunch گفت که او رمز عبوری را در کد منبع برنامه اندروید Wyndham پیدا کرده است که به پایگاه داده داخلی شرکت که توسط شرکت فناوری Salesforce میزبانی شده است دسترسی پیدا کرده است.

ویگینز به TechCrunch گفت که این اعتبار اطلاعات شخصی از جمله نام مشتری، آدرس ایمیل و شماره عضو Wyndham را افشا می کند. این پایگاه داده همچنین نشانه های ورود به سیستم مشتری (به نام JWT) را ذخیره می کند که مشتریان را بدون نیاز به وارد کردن مکرر رمز عبور خود به برنامه های خود وارد می کند. پایگاه داده همچنین حاوی فایل ها و اسناد Wyndham بود.

به گفته ویگینز، پایگاه داده میلیون ها ورودی داشت، اما او قادر به تعیین تعداد دقیق سوابق مشتریان در معرض دید نبود. Wyndham حدود 129 میلیون عضو پاداش ثبت نام شده را تبلیغ می کند.

این محقق گفت Wyndham راهی برای گزارش نقص های امنیتی ندارد و از TechCrunch برای هشدار به شرکت کمک خواست. بلافاصله پس از تماس TechCrunch با کارکنان امنیت سایبری Wyndham، اعتبار افشا شده باطل شد و از هرگونه دسترسی بیشتر به پایگاه داده جلوگیری شد.

سخنگوی Wyndham به TechCrunch گفت: «تیم ما اقداماتی را برای رسیدگی به این مشکل انجام داده است. این بیانیه بدون ارائه جزئیات بیشتر در مورد این ادعا افزود: تیم های امنیتی ما هیچ مدرکی دال بر دسترسی غیرمجاز ندارند.

سخنگوی Wyndham وقتی از وی پرسیده شد که آیا این شرکت ابزارهای فنی مانند گزارش های سرور برای تعیین اینکه آیا کسی قبل از کشف ویگینز به پایگاه داده مشتریان دسترسی داشته یا خیر، در اختیار دارد یا خیر، نگفت.

TechCrunch همچنین از Wyndham پرسید که آیا قصد دارد به مشتریانی که اطلاعات آنها افشا شده است اطلاع دهد یا این حادثه را برای تنظیم‌کننده‌های ایالات متحده افشا کند، مانند ارسال اخطاریه به کمیسیون بورس و اوراق بهادار ایالات متحده، همانطور که شرکت‌های دولتی ملزم به انجام این کار برای حوادث امنیت سایبری با اهمیت هستند. ویندهام نمی گوید.

سخنگوی Wyndham همچنین نگفت که رمز عبور برای چه مدت در برنامه مشتری تعبیه شده است، یا Wyndham چگونه قصد دارد یک اصلاح طولانی مدت برای برنامه ارسال کند.

توسعه‌دهندگان برنامه‌ها و نرم‌افزارها عموما از قرار دادن رمزهای عبور یا اعتبارنامه‌ها در نرم‌افزارها و برنامه‌های منتشر شده عمومی اجتناب می‌کنند - فرآیندی که به عنوان "Hardcoding" شناخته می‌شود - زیرا هر کسی که یک نسخه از نرم‌افزار را داشته باشد می‌تواند رمز عبور را استخراج کرده و از آن برای دسترسی به سرور یا پایگاه داده مرتبط خود استفاده کند. با توجه به سادگی استفاده از اعتبارنامه ها توسط هر کسی، بسیاری از موارد اعتبارنامه هاردکد شده به طور خودکار با حداکثر درجه شدت آسیب پذیری امتیازدهی می شوند.

برای ویگینز، این دومین کشف عمومی وی از اعتبارنامه هاردکد شده در دو هفته است، پس از یافتن یک آسیب پذیری تقریبا یکسان در برنامه Applebee که داده های مشتریان را افشا می کرد. ویگینز برای هر دو اکتشاف به ابزارهای هوش مصنوعی متکی بود، که شناسایی ضعف های امنیتی ساده، مانند اعتبارنامه هاردکد شده را با جستجوی هزاران خط کد برنامه حذف شده در هر ثانیه آسان تر می کند.

وقتی از ویگنز در مورد پاسخ ویندهام پرسیده شد، ویگینز به TechCrunch گفت که خوشحال است که شرکت این مشکل را برطرف کرده است، اما خاطرنشان کرد که بدون مشاهده فعالیت‌های گذشته، شخصی با نیت مخرب می‌توانست مقادیر زیادی از اطلاعات شخصی مشتریان را به بیرون درز کند.

این شرکت نمی گوید که آیا قصد دارد یک برنامه افشای آسیب پذیری راه اندازی کند تا به محققان و هکرهای امنیتی خارجی اجازه دهد تا آسیب پذیری های امنیتی را به طور خصوصی گزارش کنند.

مایکل فرانسیس، مدیر امنیت سایبری Wyndham که به این حادثه واکنش نشان داد، به TechCrunch گفت که محققان می‌توانند جزئیات مسائل امنیتی احتمالی را به [ایمیل محافظت شده] هشدار دهند. سخنگوی این شرکت نمی گوید که آیا قصد دارد وب سایت خود را تغییر دهد تا به محققان اجازه دهد به شرکت هشدار دهند.

این آخرین حادثه امنیتی شناخته شده در ویندهام در سال های اخیر است. در سال 2024، یک محقق امنیتی دریافت که چندین میز پذیرش هتل Wyndham از نرم‌افزار جاسوسی دسترسی از راه دور استفاده می‌کردند که اسکرین‌شات‌های سوابق مهمان و اطلاعات رزرو را در وب باز منتشر می‌کرد.

بلافاصله پس از گزارش ما، برنامه جاسوسی موجود در رایانه های هتل به نام pcTattletale هک شد و بانک اطلاعات مشتریان آن به سرقت رفت و مالک شرکت، برایان فلمینگ، مجبور شد شرکت را تعطیل کند. فلمینگ، ساکن سابق میشیگان، بعدا توسط مقامات فدرال دستگیر و به ساخت، فروش و تبلیغ نرم افزارهای جاسوسی غیرقانونی محکوم شد.

وقتی از طریق پیوندهای موجود در مقالات ما خرید می کنید، ممکن است کمیسیون کمی کسب کنیم. این بر استقلال تحریریه ما تأثیر نمی گذارد.

با او می توان از طریق پیام رمزگذاری شده در zackwhittaker.1337 در سیگنال تماس گرفت. همچنین می‌توانید از طریق ایمیل با او تماس بگیرید، یا برای تأیید ارتباط، در [email protected].

One Pass بخرید، جلد دوم رایگان را در بوت کمپ نهایی سال TechCrunch با آوردن هم بنیانگذار یا شریک خود به صورت کتاب رایگان قبل از انقضای قرارداد BOGO دریافت کنید.

تسلا ساخت Cybertruck را در سال 2027 شان اوکین متوقف خواهد کرد

کلود اکنون می تواند هزینه های شما را با ابزار جدید مالی شخصی خود عایشه مالیک تجزیه و تحلیل کند

سارا پرز می گوید تقریبا هیچ کس از عوامل هوش مصنوعی برای رزرو Uber خود استفاده نمی کند

متا استارتاپ کدنویسی هوش مصنوعی Conductor Lucas Ropek را خریداری کرد

با افزایش انتظار برای قدرت، مراکز داده به موتورهای جت قدیمی روی آورده اند

ممدانی شهر نیویورک از مالک مدیسون اسکوئر گاردن به خاطر فناوری نظارتی زک ویتاکر انتقاد کرد.