Fjalëkalimi i fshehur në aplikacionin e Wyndham ekspozoi të dhënat e klientëve

Gjiganti i hoteleve dhe resorteve Wyndham ka pranuar një incident të sigurisë kibernetike, pasi një studiues sigurie zbuloi një defekt që u lejonte kujtdo qasje në të dhënat personale të klientëve, siç raporton TechCrunch. Studiuesi Robert Wiggins, nga What Security, i tha ekskluzivisht TechCrunch se kishte gjetur një fjalëkalim brenda kodit burimor të aplikacionit Android të Wyndham, i cili hapte një bazë të brendshme të dhënash të kompanisë, të strehuar nga kompania teknologjike Salesforce.

Sipas Wiggins, kredenciali i ekspozuar zbulonte të dhëna personale si emrat e klientëve, adresat e tyre të emailit dhe numrin e anëtarësimit në Wyndham. Baza e të dhënave ruante edhe tokenat e hyrjes së klientëve, të njohur si JWT, që i mbajnë përdoruesit të kyçur në aplikacione pa u detyruar të fusin vazhdimisht fjalëkalimet e tyre, si dhe skedarë e dokumente të vetë kompanisë. Sipas raportimit të TechCrunch, baza përmbante miliona regjistrime, por studiuesi nuk arriti të përcaktojë numrin e saktë të klientëve të prekur; Wyndham numëron rreth 129 milionë anëtarë të regjistruar në programin e saj të shpërblimeve.

Wiggins tha se Wyndham nuk kishte asnjë mënyrë për të raportuar defektet e sigurisë dhe i kërkoi ndihmë TechCrunch për të njoftuar kompaninë. Menjëherë pasi TechCrunch kontaktoi stafin e sigurisë kibernetike të Wyndham, kredenciali i ekspozuar u revokua, duke ndaluar çdo qasje të mëtejshme në bazë. “Ekipi ynë ka ndërmarrë hapa për ta trajtuar çështjen”, i tha një zëdhënës i Wyndham TechCrunch, duke shtuar se ekipet e sigurisë nuk kanë prova për ndonjë qasje të paautorizuar.

Kompania nuk pranoi t’u përgjigjej disa pyetjeve të TechCrunch: nëse ka mjetet teknike, si regjistrat e serverëve, për të përcaktuar nëse dikush ka hyrë në bazën e të dhënave përpara zbulimit të Wiggins; nëse planifikon të njoftojë klientët e prekur apo ta zbulojë incidentin te rregullatorët amerikanë; prej sa kohësh fjalëkalimi ndodhej i futur në aplikacion; dhe si do ta rregullojë atë në mënyrë afatgjatë. Zhvilluesit e aplikacioneve zakonisht shmangin futjen e fjalëkalimeve brenda programeve të publikuara — një praktikë e njohur si “hardcoding” — sepse kushdo që ka një kopje të programit mund ta nxjerrë fjalëkalimin dhe ta përdorë atë; për këtë arsye, shumë raste të tilla vlerësohen automatikisht me shkallën maksimale të rrezikshmërisë.

Për Wiggins, ky është zbulimi i dytë i këtij lloji brenda dy javësh, pas një cenueshmërie thuajse identike në aplikacionin e Applebee’s, që gjithashtu ekspozonte të dhëna klientësh; për të dy zbulimet ai u mbështet në mjete të inteligjencës artificiale që skanojnë mijëra rreshta kodi të çkompiluar çdo sekondë. Drejtori i sigurisë kibernetike të Wyndham, Michael Francess, i tha TechCrunch se studiuesit mund të dërgojnë detaje për probleme të mundshme sigurie në adresën e posaçme të kompanisë. Ky është incidenti më i fundit i sigurisë te Wyndham vitet e fundit: në vitin 2024, një studiues zbuloi se disa sportele regjistrimi në hotelet Wyndham përdornin një program spiunimi që dërgonte në internet pamje të regjistrave të mysafirëve.