Wyndham xác nhận lỗi trên Android app làm lộ dữ liệu khách hàng

Tóm tắt nhanh

• Wyndham xác nhận một sự cố an ninh mạng sau khi nhà nghiên cứu Robert Wiggins phát hiện lỗi trong Android app cho phép bất kỳ ai truy cập thông tin cá nhân của khách hàng. TechCrunch cho biết mã truy cập bị nhúng trong source code đã mở cửa vào cơ sở dữ liệu nội bộ trên Salesforce.
• Dữ liệu bị lộ gồm tên khách hàng, email, số hội viên Wyndham và cả login tokens (JWTs) dùng để giữ người dùng đăng nhập. Cơ sở dữ liệu này còn chứa các tệp và tài liệu của Wyndham.
• Wiggins nói cơ sở dữ liệu có hàng triệu bản ghi, nhưng ông chưa thể xác định chính xác số hồ sơ khách hàng bị ảnh hưởng. Wyndham cho biết có khoảng 129 triệu thành viên rewards.
• Sau khi TechCrunch liên hệ đội an ninh mạng của Wyndham, credential bị lộ đã bị thu hồi để ngăn truy cập thêm. Công ty nói đã có biện pháp xử lý, nhưng cho biết chưa thấy bằng chứng về truy cập trái phép.
• Wyndham không nói rõ liệu có thể kiểm tra nhật ký máy chủ để biết có ai từng truy cập cơ sở dữ liệu trước khi Wiggins phát hiện hay không. Công ty cũng không cho biết có kế hoạch thông báo cho khách hàng hay báo cáo lên các cơ quan quản lý của Mỹ.
• TechCrunch hỏi liệu Wyndham có nộp thông báo cho SEC hay không, nhưng công ty không trả lời. Wyndham cũng không nói password đã nằm trong app bao lâu và sẽ vá lỗi lâu dài như thế nào.
• Vấn đề bắt nguồn từ việc hardcoding thông tin đăng nhập trong ứng dụng công khai, điều mà giới phát triển thường tránh vì ai có bản sao phần mềm cũng có thể trích xuất và dùng nó. Nhiều trường hợp như vậy được chấm ở mức độ nghiêm trọng tối đa.
• Đây là phát hiện công khai thứ hai của Robert Wiggins trong hai tuần, sau một lỗ hổng gần như tương tự trong app của Applebee’s cũng làm lộ dữ liệu khách hàng. Wiggins nói ông dùng AI tools để rà hàng nghìn dòng mã decompiled mỗi giây nhằm tìm các lỗi đơn giản như hardcoded credentials.
• Wyndham nói các nhà nghiên cứu bảo mật có thể liên hệ [email protected] để báo cáo vấn đề tiềm ẩn. Tuy vậy, công ty không cho biết liệu sẽ triển khai chương trình vulnerability disclosure program hay chỉnh website để tiếp nhận báo cáo an ninh dễ hơn.

Tóm tắt tự động bằng AI từ 2 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.