Wyndham lộ dữ liệu khách hàng do lỗi bảo mật trong ứng dụng di động

Tập đoàn khách sạn và khu nghỉ dưỡng Wyndham vừa xác nhận một sự cố an ninh mạng nghiêm trọng sau khi một nhà nghiên cứu bảo mật phát hiện lỗ hổng cho phép truy cập trái phép vào thông tin cá nhân của khách hàng.

Nhà nghiên cứu Robert Wiggins từ What Security cho biết, anh đã tìm thấy một mật khẩu được “hardcode” (nhúng trực tiếp) ngay trong mã nguồn của ứng dụng Wyndham trên Android. Mật khẩu này cung cấp quyền truy cập vào một cơ sở dữ liệu nội bộ của công ty, được lưu trữ trên nền tảng Salesforce. Theo Wiggins, dữ liệu bị lộ bao gồm tên khách hàng, địa chỉ email, mã thành viên Wyndham, cùng các token đăng nhập (JWT) giúp duy trì phiên làm việc của người dùng. Ngoài ra, cơ sở dữ liệu này còn chứa nhiều tệp tin và tài liệu nội bộ khác.

Dù cơ sở dữ liệu chứa hàng triệu mục, quy mô chính xác của số lượng hồ sơ khách hàng bị ảnh hưởng vẫn chưa được xác định rõ ràng. Ngay sau khi TechCrunch liên hệ với đội ngũ an ninh mạng của Wyndham, thông tin đăng nhập bị lộ đã được thu hồi để ngăn chặn truy cập trái phép.

Đại diện Wyndham cho biết: “Đội ngũ của chúng tôi đã thực hiện các bước cần thiết để xử lý vấn đề. Hiện tại, chúng tôi chưa có bằng chứng về bất kỳ hành vi truy cập trái phép nào”. Tuy nhiên, phía công ty từ chối tiết lộ liệu họ có đủ nhật ký hệ thống (server logs) để kiểm chứng xem liệu dữ liệu đã từng bị khai thác trước khi được phát hiện hay không, cũng như kế hoạch thông báo cho khách hàng hoặc các cơ quan quản lý.

Việc nhúng mật khẩu vào mã nguồn ứng dụng là một sai lầm nghiêm trọng trong phát triển phần mềm, thường được xếp hạng ở mức độ nghiêm trọng cao nhất do khả năng bị khai thác dễ dàng. Wiggins chia sẻ rằng anh đã sử dụng các công cụ AI để phân tích hàng nghìn dòng mã ứng dụng đã dịch ngược, giúp việc phát hiện các lỗ hổng như hardcoded credentials trở nên nhanh chóng hơn.

Đây không phải là lần đầu tiên Wyndham gặp sự cố bảo mật. Trước đó vào năm 2024, một số quầy check-in của khách sạn thuộc tập đoàn này đã bị phát hiện cài đặt phần mềm gián điệp (spyware) có tên pcTattletale, dẫn đến việc rò rỉ thông tin đặt phòng và dữ liệu khách hàng ra internet công cộng. Hiện tại, Wyndham vẫn chưa đưa ra câu trả lời rõ ràng về việc liệu họ có thiết lập một chương trình công bố lỗ hổng (vulnerability disclosure program) chính thức để các nhà nghiên cứu bảo mật có thể báo cáo các vấn đề trong tương lai hay không.

Nguồn tham khảo: TechCrunch