Wyndhams Android-app läckte kunduppgifter efter säkerhetsbrist

Wyndham uppgav att företaget hade åtgärdat en cybersäkerhetsincident efter att forskaren Robert Wiggins hittat ett hårdkodat lösenord i hotellkoncernens Android-app. Uppgiften gav åtkomst till en intern databas som driftades av Salesforce.

Wiggins sade till TechCrunch att databasen innehöll kunders namn, e-postadresser, Wyndham-medlemsnummer och inloggningstoken, samt företagsfiler och dokument. Token, som kallas JWT, håller kunder inloggade i sina appar. Han sade att databasen hade miljontals poster, men att han inte kunde avgöra hur många kundposter som hade exponerats. Wyndham uppger att företaget har omkring 129 miljoner registrerade lojalitetsmedlemmar.

Efter att TechCrunch kontaktat Wyndham spärrade företaget uppgiften. En talesperson sade att säkerhetsteamen inte hade ”några belägg för obehörig åtkomst”, men ville inte säga om företaget kunde granska serverloggar för att kontrollera tidigare åtkomst. Wyndham sade inte heller om företaget skulle underrätta berörda kunder eller amerikanska myndigheter, hur länge lösenordet hade funnits i appen eller hur en långsiktig lösning skulle genomföras.

Wiggins sade att han var glad över att problemet hade åtgärdats, men påpekade att företagets brist på insyn i tidigare aktivitet lämnade möjligheten öppen att någon hade kommit åt eller läckt kunduppgifter. Wyndhams cybersäkerhetschef sade till TechCrunch att forskare kan rapportera potentiella säkerhetsproblem via e-post.

TechCrunch rapporterade att detta var Wiggins andra offentliga upptäckt av hårdkodade inloggningsuppgifter på två veckor. Han använde AI-verktyg i båda undersökningarna. Artikeln tog också upp en separat incident från 2024 med spionprogram på flera hotellreceptioner hos Wyndham.