Tập đoàn khách sạn và khu nghỉ dưỡng Wyndham đã thừa nhận một sự cố an ninh mạng sau khi một nhà nghiên cứu bảo mật có thiện chí phát hiện ra một lỗi cho phép bất kỳ ai truy cập thông tin cá nhân của khách hàng.
Nhà nghiên cứu bảo mật Robert Wiggins tại What Security độc quyền nói với TechCrunch rằng ông đã tìm thấy mật khẩu bên trong mã nguồn của ứng dụng Android của Wyndham, cấp quyền truy cập vào cơ sở dữ liệu nội bộ của công ty, do công ty công nghệ Salesforce lưu trữ.
Wiggins nói với TechCrunch rằng thông tin cá nhân bị tiết lộ bao gồm tên khách hàng, địa chỉ email và số thành viên Wyndham. Cơ sở dữ liệu cũng lưu trữ mã thông báo đăng nhập của khách hàng (được gọi là JWT) để giúp khách hàng đăng nhập vào ứng dụng của họ mà không cần phải nhập lại mật khẩu của chính họ. Cơ sở dữ liệu cũng chứa các tập tin và tài liệu của Wyndham.
Theo Wiggins, cơ sở dữ liệu có hàng triệu mục nhập, nhưng anh không thể xác định chính xác số lượng hồ sơ khách hàng bị lộ. Wyndham chào mời khoảng 129 triệu thành viên phần thưởng đã đăng ký.
Nhà nghiên cứu cho biết Wyndham không có cách nào để báo cáo các lỗi bảo mật và yêu cầu TechCrunch trợ giúp trong việc cảnh báo cho công ty. Ngay sau khi TechCrunch liên hệ với nhân viên an ninh mạng của Wyndham, thông tin xác thực bị lộ đã bị thu hồi, ngăn cản mọi quyền truy cập thêm vào cơ sở dữ liệu.
Người phát ngôn của Wyndham nói với TechCrunch: “Nhóm của chúng tôi đã thực hiện các bước để giải quyết vấn đề”. “Các nhóm bảo mật của chúng tôi không có bằng chứng về bất kỳ truy cập trái phép nào,” tuyên bố nói thêm mà không cung cấp thêm bất kỳ chi tiết nào về khiếu nại.
Khi được hỏi, người phát ngôn của Wyndham sẽ không cho biết liệu công ty có phương tiện kỹ thuật, chẳng hạn như nhật ký máy chủ, để xác định xem có ai có quyền truy cập vào cơ sở dữ liệu khách hàng trước khi Wiggins bị phát hiện hay không.
TechCrunch cũng hỏi Wyndham liệu họ có kế hoạch thông báo cho khách hàng có thông tin bị lộ hay tiết lộ vụ việc cho các cơ quan quản lý Hoa Kỳ, chẳng hạn như gửi thông báo lên Ủy ban Chứng khoán và Giao dịch Hoa Kỳ, như các công ty đại chúng phải làm đối với các sự cố an ninh mạng quan trọng. Wyndham sẽ không nói.
Người phát ngôn của Wyndham cũng không cho biết mật khẩu đã được nhúng trong ứng dụng khách hàng của họ trong bao lâu hoặc Wyndham dự định đưa ra bản sửa lỗi dài hạn cho ứng dụng như thế nào.
Các nhà phát triển ứng dụng và phần mềm thường tránh đưa mật khẩu hoặc thông tin đăng nhập vào phần mềm và ứng dụng được phát hành công khai — một quá trình được gọi là “mã hóa cứng” — vì bất kỳ ai có bản sao phần mềm đều có thể trích xuất mật khẩu và sử dụng nó để truy cập vào máy chủ hoặc cơ sở dữ liệu liên quan. Do tính đơn giản mà thông tin xác thực có thể bị lạm dụng bởi bất kỳ ai, nhiều trường hợp thông tin xác thực được mã hóa cứng sẽ tự động được chấm điểm với xếp hạng mức độ nghiêm trọng của lỗ hổng bảo mật tối đa.
Đối với Wiggins, đây là phát hiện công khai thứ hai của anh về thông tin xác thực được mã hóa cứng trong hai tuần, sau khi tìm thấy một lỗ hổng gần giống trong ứng dụng Applebee làm lộ dữ liệu khách hàng. Wiggins đã dựa vào các công cụ AI cho cả hai khám phá này, giúp xác định các điểm yếu bảo mật đơn giản dễ dàng hơn, chẳng hạn như thông tin xác thực được mã hóa cứng, bằng cách quét hàng nghìn dòng mã ứng dụng bị dịch ngược mỗi giây.
Khi được hỏi về phản hồi của Wyndham, Wiggins nói với TechCrunch rằng ông rất vui vì công ty đã khắc phục được sự cố, nhưng lưu ý rằng nếu không nhìn thấy được bất kỳ hoạt động nào trong quá khứ, ai đó có mục đích xấu có thể đã rò rỉ một lượng lớn thông tin cá nhân của khách hàng.
Công ty sẽ không cho biết liệu họ có kế hoạch thiết lập một chương trình tiết lộ lỗ hổng bảo mật hay không để cho phép các nhà nghiên cứu bảo mật và tin tặc bên ngoài báo cáo các lỗ hổng bảo mật một cách riêng tư.
Michael Francess, giám đốc an ninh mạng của Wyndham, người đã phản ứng với vụ việc, nói với TechCrunch rằng các nhà nghiên cứu có thể cảnh báo (email được bảo vệ) với các chi tiết về các vấn đề bảo mật tiềm ẩn. Người phát ngôn của công ty sẽ không cho biết liệu họ có kế hoạch thay đổi trang web của mình để cho phép các nhà nghiên cứu cảnh báo cho công ty hay không.
Đây là sự cố an ninh mới nhất được biết đến tại Wyndham trong những năm gần đây. Vào năm 2024, một nhà nghiên cứu bảo mật đã phát hiện ra một số quầy làm thủ tục của khách sạn Wyndham đang chạy phần mềm gián điệp truy cập từ xa làm rò rỉ ảnh chụp màn hình hồ sơ khách và thông tin đặt phòng lên trang web mở.
Ngay sau báo cáo của chúng tôi, ứng dụng phần mềm gián điệp được tìm thấy trên máy tính của khách sạn, được gọi là pcTattletale, đã bị tấn công và ngân hàng dữ liệu khách hàng của nó bị đánh cắp, buộc chủ sở hữu công ty, Bryan Fleming, phải đóng cửa công ty. Fleming, một cựu cư dân của Michigan, sau đó đã bị chính quyền liên bang bắt giữ và bị kết tội sản xuất, bán và quảng cáo phần mềm gián điệp bất hợp pháp.
Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể kiếm được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập biên tập của chúng tôi.