Otel ve tatil köyü şirketi Wyndham, Android uygulamasındaki güvenlik açığının müşterilere ait kişisel bilgileri erişilebilir kıldığını kabul etti. What Security’den güvenlik araştırmacısı Robert Wiggins, uygulamanın kaynak kodunda bulduğu parolanın Salesforce tarafından barındırılan şirket içi veri tabanına erişim sağladığını TechCrunch’a bildirdi. Veri tabanında müşteri adları, e-posta adresleri, Wyndham üyelik numaraları, uygulamalarda oturumu açık tutan JWT belirteçleri ile şirket dosyaları ve belgeler yer alıyordu. Wiggins, milyonlarca kayıt bulunduğunu ancak etkilenen müşteri sayısını belirleyemediğini söyledi. Wyndham’ın yaklaşık 129 milyon kayıtlı ödül programı üyesi bulunuyor.
Erişim parolası iptal edildi
Wiggins, şirketin güvenlik açıklarını bildirmek için bir yöntemi olmadığını belirterek TechCrunch’tan Wyndham’a ulaşmasına yardımcı olmasını istedi. Yayının şirketin siber güvenlik ekibiyle temasa geçmesinin ardından veri tabanına erişim sağlayan parola iptal edildi. Wyndham sözcüsü, “Ekibimiz sorunu gidermek için adımlar attı” dedi ve “Güvenlik ekiplerimizin yetkisiz erişime dair kanıtı yok” açıklamasını yaptı. Şirket bu iddiaya ilişkin ayrıntı vermedi. Wyndham; Wiggins’in bulgusundan önce veri tabanına erişilip erişilmediğini sunucu kayıtlarıyla saptayıp saptayamayacağı, bilgileri açığa çıkan müşterileri bilgilendirip bilgilendirmeyeceği ve ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) gibi düzenleyici kurumlara bildirimde bulunup bulunmayacağı sorularını yanıtlamadı. Halka açık şirketlerin önemli siber güvenlik olaylarını bildirmesi gerekiyor. Şirket, parolanın uygulamada ne kadar süredir bulunduğu ve kalıcı çözümün nasıl uygulanacağı konusunda da açıklama yapmadı.
Wyndham’ın önceki güvenlik olayı
Yazılımlara sabit parola yerleştirilmesi, uygulamanın kopyasına sahip kişilerin parolayı çıkarıp ilişkili sunucuya veya veri tabanına erişebilmesine yol açabiliyor. Wiggins, iki hafta içinde Applebee’s uygulamasında da benzer bir açık bulduğunu ve bu bulguda olduğu gibi Wyndham uygulamasını incelerken yapay zekâ araçlarından yararlandığını belirtti. Bu araçlar, uygulama kodundaki güvenlik zafiyetlerinin binlerce satırda hızla taranmasını sağlıyor. Wiggins, Wyndham’ın açığı kapatmasından memnun olduğunu, ancak geçmiş erişimlere dair görünürlük olmaması nedeniyle kötü niyetli bir kişinin çok sayıda müşterinin bilgisini sızdırmış olabileceğini ifade etti. Wyndham’ın siber güvenlik direktörü Michael Francess, araştırmacıların olası güvenlik sorunlarını [email protected] adresine bildirebileceğini TechCrunch’a aktardı. Şirketin internet sitesinde bu amaçla bir bildirim yolu oluşturup oluşturmayacağı açıklanmadı. Wyndham’da bilinen önceki olay 2024’te yaşandı: Bir araştırmacı, bazı otellerdeki kayıt masası bilgisayarlarında uzaktan erişim casus yazılımı tespit etti. Yazılım, konuk kayıtlarının ve rezervasyon bilgilerinin ekran görüntülerini açık internete sızdırıyordu. Haberin ardından bilgisayarlarda bulunan pcTattletale adlı yazılım saldırıya uğradı, müşteri verileri çalındı ve şirketin sahibi Bryan Fleming şirketi kapattı. Michigan’da daha önce yaşamış olan Fleming, daha sonra federal yetkililerce tutuklandı ve yasa dışı casus yazılım üretmek, satmak ve reklamını yapmaktan mahkûm edildi.
