Wyndham تأیید می کند که پس از یافتن یک متخصص در امنیت برنامه، اطلاعات مشتریان هتل را افشا کرده است

برنامه اندروید Wyndham داده‌های مشتری و توکن‌های ورود به سیستم را از طریق اعتبارنامه‌های رمزگذاری‌شده تعبیه‌شده در کد در معرض نمایش قرار داد.

محققان به میلیون ها رکورد از جمله نام، ایمیل، شناسه اعضا و توکن های احراز هویت فعال دسترسی پیدا کردند.

ویندهام پس از افشای این مشکل را برطرف کرد، اما دامنه قرار گرفتن در معرض و هرگونه دسترسی قبلی نامشخص است Wyndham Hotels & Resorts، یکی از بزرگ‌ترین هتل‌های زنجیره‌ای جهان، اعتراف کرده است که یک حادثه امنیت سایبری شرم‌آور را تجربه کرده است که اطلاعات هویتی شخصی و حتی نشانه‌های ورود به برنامه تلفن همراه، احتمالا برای میلیون‌ها نفر را در معرض نمایش قرار داده است.

هتل این خبر را پس از آن که یک محقق مستقل در مورد این اتفاق امنیتی منتشر کرد، این خبر را تایید کرد.

محقق امنیتی رابرت ویگینز از What Security برنامه اندروید Wyndham را تجزیه و تحلیل کرد و مجموعه ای از اعتبارنامه هاردکد شده را پیدا کرد. اینها اعتبارنامه هایی هستند که در کد برنامه قرار می گیرند و معمولا یک مصنوع باقی مانده از مراحل توسعه قبلی هستند. در حین ساخت یک برنامه، توسعه‌دهندگان نرم‌افزار اعتبارنامه‌های مدیریت را در کد قرار می‌دهند تا سریع‌تر کار کنند و مجبور نباشند هر بار که می‌خواهند یک ویژگی یا ابزاری را آزمایش کنند به سیستم وارد شوند.

این اعتبارنامه ها معمولا در ممیزی نهایی، درست قبل از ارسال برنامه حذف می شوند. با این حال، گاهی اوقات فراموش می شوند، که حتی برای کم مهارت ترین مجرمان سایبری، یک درب دوگانه پشتی را ایجاد می کند.

داده های مشتری و نشانه های ورود

در این مورد، اعتبار به ویگینز اجازه دسترسی به پایگاه داده داخلی شرکت شامل نام مشتریان، آدرس‌های ایمیل، شماره‌های اعضای Wyndham و JWT داده شد - نشانه‌های ورود به سیستم مشتری که به کاربران اجازه می‌دهد در برنامه‌های خود وارد سیستم شوند.

این توکن‌ها برای بازیگران مخرب ارزشمند هستند، زیرا به آنها اجازه می‌دهند بدون اطلاع از اعتبار آنها به نمونه‌های کاربر دسترسی داشته باشند (البته که هنوز فعال هستند و منقضی نشده‌اند یا لغو نشده‌اند).

اطلاعات شناسایی شخصی و همچنین فایل‌ها و اسناد Wyndham که در پایگاه داده نیز ذخیره می‌شدند، می‌توانند برای ایجاد فریب‌های فیشینگ بسیار سفارشی‌شده و متناسب استفاده شوند، که می‌تواند قربانیان را فریب دهد تا بدافزار را نصب کنند، تراکنش‌های جعلی را انجام دهند، یا به مهاجمان اجازه دسترسی به محیط شرکتی کارفرمای خود را بدهند.

ویگینز ظاهرا سعی کرد با هتل تماس بگیرد، اما نتوانست کانال مناسب را پیدا کند، بنابراین از رسانه ها کمک خواست. هنگامی که TechCrunch تماس گرفت، این شرکت اشتباه امنیتی را تأیید کرد اما تأکید کرد که این مشکل قبلا حل شده است.

سخنگوی ویندهام به نشریه گفت: «تیم ما اقداماتی را برای رسیدگی به این موضوع انجام داده است. تیم‌های امنیتی ما هیچ مدرکی دال بر دسترسی غیرمجاز ندارند.»

ممکن است مشکل حل شود، اما بسیاری از سؤالات بی پاسخ مانده است. به عنوان مثال، ما نمی دانیم چند نفر اطلاعات خود را به این طریق در معرض دید قرار داده اند. ویگینز می‌گوید پایگاه داده «میلیون‌ها ورودی» دارد، اما او نتوانست تعداد دقیق‌تری را تعیین کند. Wyndham ادعا می کند که دارای 129 میلیون عضو پاداش ثبت نام شده است.

خط ویگینز

ما همچنین نمی دانیم که پایگاه داده برای چه مدت در معرض این روش باقی مانده است. چه زمانی اعتبارنامه ها در برنامه کدگذاری شدند و کدام نسخه ها آنها را حفظ کردند؟ این شرکت همچنین گفت هیچ مدرکی دال بر دسترسی غیرمجاز وجود ندارد اما از توضیح بیشتر خودداری کرد. بدون ممیزی مناسب از گزارش‌های سرور، نمی‌توانیم به طور قطع بدانیم که آیا کسی اطلاعات را قبل از کشف ویگینز مشاهده یا دانلود کرده است یا خیر.

تا کنون، به نظر نمی رسد که Wyndham این نشت را به طور عمومی فاش کرده باشد، یا جزئیات را با مشتریان خود که داده های آنها افشا شده به اشتراک گذاشته باشد. معمولا حوادثی مانند این باید به مقامات مربوطه گزارش شود، از جمله ناظران داده و تنظیم‌کننده‌ها مانند کمیسیون بورس و اوراق بهادار ایالات متحده (SEC)، سازمان بورس و اوراق بهادار اروپا، یا مقامات ملی حفاظت از داده‌ها.

این دومین نمونه از اعتبارنامه هاردکد شده Wiggins در همین چند هفته است. در اوایل نوامبر، فاش شد که رستوران‌های زنجیره‌ای آمریکایی Applebee اطلاعات رمزگذاری‌شده را در برنامه تلفن همراه اندروید خود نگه می‌دارد و نام مشتریان، آدرس‌های ایمیل آن‌ها (اعم از تایید شده و تایید نشده)، تاریخ تولد، شماره تلفن، کد پستی، وضعیت سرباز، تعداد ورود به سیستم، تاریخ‌های آخرین آدرس ایجاد حساب، و IP افرادی که می‌دانستند، آخرین جلسه ایجاد شده است.

درست مانند Wyndham، ما تعداد دقیق افرادی را که داده‌هایشان به این روش افشا شده است، نمی‌دانیم، اما می‌توان گفت که آنها میلیون‌ها نفر هستند.