Otel devi Wyndham, bir güvenlik araştırmacısının Android uygulamasında bulduğu hata nedeniyle müşteri verilerinin erişime açıldığını kabul etti.
Güvenlik araştırmacısı Robert Wiggins, What Security'den, keşfi TechCrunch'a özel olarak anlattı. Wiggins, Wyndham'ın Android uygulamasının kaynak kodunda bir parola bulduğunu ve bu parolanın teknoloji şirketi Salesforce tarafından barındırılan dahili bir şirket veri tabanına erişim sağladığını söyledi.
Wiggins, TechCrunch'a verdiği bilgide kimliğin müşteri adları, e-posta adresleri ve Wyndham üyelik numarası gibi kişisel bilgileri açığa çıkardığını belirtti. Veri tabanı ayrıca müşterilerin şifrelerini tekrar tekrar girmeksizin uygulamaya giriş yapmasını sağlayan JWT adı verilen oturum açık tutma jetonlarını da saklıyordu. Veri tabanında Wyndham'a ait dosyalar ve belgeler de bulunuyordu.
Wiggins'e göre veri tabanında milyonlarca kayıt vardı ancak açığa çıkan müşteri kaydı sayısını kesin olarak belirleyemedi. Wyndham 129 milyon kayıtlı ödül üyesi olduğunu duyuruyor.
Araştırmacı, Wyndham'ın güvenlik açıklarını bildirmek için bir yolu olmadığını söyledi ve şirketi uyarmada TechCrunch'dan yardım istedi. TechCrunch'ın Wyndham'ın siber güvenlik ekibiyle temasa geçmesinin kısa süre sonra açığa çıkan kimlik bilgisi iptal edildi ve veri tabanına erişim engellendi.
Bir Wyndham sözcüsü TechCrunch'a, "Ekip sorunu ele almak için adımlar attı" dedi. Açıklamada ayrıca, "Güvenlik ekiplerimizin yetkisiz erişime dair bir kanıtı yok" denildi ve iddiayla ilgili başka ayrıntı verilmedi.
Sözcü, sorulduğunda Wiggins'in keşfinden önce kimsenin müşteri veri tabanına erişip erişmediğini belirleyebilmek için sunucu günlükleri gibi teknik imkana sahip olup olmadıkları sorusuna yanıt vermedi.
TechCrunch, Wyndham'ın bilgisi açığa çıkan müşterileri bilgilendirmeyi ya da olayı ABD Menkul Kıymetler ve Borsa Komisyonu'na bildirmek gibi ABD düzenleyicilerine duyurmayı planlayıp planlamadığını sordu. Şirket bu konuda da açıklama yapmadı.
Wyndham sözcüsü, parolanın müşteri uygulamasında ne kadar süredir gömülü olduğu ve uygulamada kalıcı bir düzeltmenin nasıl sunulacağı sorularını da yanıtlamadı.
Uygulama ve yazılım geliştiricileri, herkesin kopyasına sahip olduğu yazılımda parola veya kimlik bilgisi bulundurmaktan genellikle kaçınır. Bu sürece hardcoding denir. Kimlik bilgilerinin kötüye kullanılmasının ne kadar kolay olduğu göz önüne alındığında, birçok hardcoding vakası otomatik olarak en yüksek güvenlik açığı şiddetiyle puanlanır.
Wiggins için bu, iki hafta içinde ikinci kez kamuoyuna duyurduğu hardcoding kimlik bilgisi keşfi oldu. Araştırmacı, Applebee's uygulamasında müşteri verilerini açığa çıkaran neredeyse aynı bir güvenlik açığını daha önce bulmuştu. Wiggins her iki keşifte de binlerce satır decompile edilmiş uygulama kodunu saniyede tarayarak basit güvenlik zayıflıklarını tespit etmesini kolaylaştıran yapay zekâ araçlarına güvendi.
Wyndham'ın tepkisi sorulduğunda Wiggins, TechCrunch'a şirketin sorunu çözmesinden memnun olduğunu söyledi ancak geçmiş faaliyetlere dair görünürlük olmadan kötü niyetli bir kişinin müşterilerin büyük miktarda kişisel bilgisini sızdırabileceğini vurguladı.
Şirket, dış güvenlik araştırmacılarının ve hackerların güvenlik açıklarını gizlice bildirebileceği bir güvenlik açığı açıklama programı kurmayı planlayıp planlamadığını da söylemedi.
Olayı yanıtlayan Wyndham'ın siber güvenlik direktörü Michael Francess, araştırmacıların olası güvenlik sorunlarının detaylarını [email protected] adresine bildirebileceğini TechCrunch'a söyledi. Şirket sözcüsü, araştırmacıların şirketi uyarması için web sitesini değiştirmeyi planlayıp planlamadıkları sorusuna da yanıt vermedi.
Bu, son yıllarda Wyndham'da bilinen en son güvenlik olayı. 2024'te bir güvenlik araştırmacısı, birkaç Wyndham otelinin giriş masalarının uzaktan erişim casus yazılımı çalıştırdığını ve misafir kayıtları ile rezervasyon bilgilerinin ekran görüntülerini açık web'e sızdırdığını buldu.
Haberimizin ardından otel bilgisayarlarında bulunan pcTattletale adlı casus yazılım uygulaması hacklendi ve müşteri verisi depoları çalındı. Bu durum şirketin sahibi Bryan Fleming'i şirketi kapatmaya zorladı. Michigan'ın eski sakini olan Fleming daha sonra federal yetkililer tarafından gözaltına alındı ve yasa dışı casus yazılım yapma, satma ve reklamını yapma suçundan mahkûm edildi.
