Гостиничная группа Wyndham подтвердила наличие инцидента в сфере кибербезопасности. Проблему обнаружил специалист по безопасности Роберт Уиггинс, который нашёл в исходном коде приложения Wyndham для Android пароль. С его помощью можно было получить доступ к внутренней базе данных компании, размещённой на платформе Salesforce.
Как сообщил TechCrunch, в базе хранились имена клиентов, адреса электронной почты и номера участников программы Wyndham. Там же находились токены авторизации, позволяющие пользователям оставаться в приложении без повторного ввода пароля. Кроме того, система содержала файлы и документы Wyndham.
По словам исследователя, база включала миллионы записей, однако установить точное число затронутых клиентских данных ему не удалось. Wyndham заявляет примерно о 129 млн участников своей бонусной программы. После обращения TechCrunch к специалистам компании обнаруженный пароль отключили, что прекратило дальнейший доступ к базе.
Представитель Wyndham заявил: «Наша команда предприняла шаги для устранения проблемы». Он также добавил: «Наши специалисты по безопасности не обнаружили признаков несанкционированного доступа». Компания не уточнила, может ли с помощью журналов серверов определить, обращался ли кто-либо к базе до обнаружения уязвимости.
Wyndham не сообщила, намерена ли уведомлять клиентов и американские регулирующие органы об инциденте. Также компания не раскрыла, как долго пароль находился в приложении и каким образом будет выпущено окончательное исправление. Размещение таких данных непосредственно в общедоступном программном обеспечении называют жёстко заданными учётными данными: любой пользователь приложения может извлечь их и попытаться подключиться к связанному серверу или базе.