Wyndham'ın Android uygulamasına gömülü parola, müşteri verilerinin tutulduğu Salesforce veritabanını açıkta bıraktı
Bir güvenlik araştırmacısı, Wyndham Hotels & Resorts'un Android uygulamasının kaynak kodunda gömülü bir parola buldu. Araştırmacıya göre parola, müşteri adları, e-posta adresleri, üyelik numaraları ve oturum token'larını içeren dahili bir veritabanına erişim sağlıyordu. Wyndham parolayı iptal etti ve yetkisiz erişime dair kanıt olmadığını açıkladı.
Otel zinciri Wyndham Hotels & Resorts, bir güvenlik araştırmacısının mobil uygulamasında bulduğu açığın ardından bir siber güvenlik olayını kabul etti. TechCrunch'ın 9 Kasım'da yayımladığı habere göre What Security'den araştırmacı Robert Wiggins, Wyndham'ın Android uygulamasının kaynak kodunda gömülü (hardcoded) bir parola buldu. Wiggins'e göre bu parola, Salesforce üzerinde barındırılan dahili bir şirket veritabanına erişim sağlıyordu.
Neler açıktaydı?
Araştırmacının TechCrunch'a aktardığına göre veritabanında şu bilgiler bulunuyordu:
- Müşteri adları, e-posta adresleri ve Wyndham üyelik numaraları,
- Müşterilerin parola girmeden oturumda kalmasını sağlayan oturum token'ları (JWT),
- Şirkete ait dosya ve belgeler.
Wiggins veritabanında "milyonlarca kayıt" olduğunu, ancak etkilenen müşteri sayısını kesin olarak belirleyemediğini söyledi. Wyndham, sadakat programında yaklaşık 129 milyon üyesi olduğunu duyuruyor; bu sayının ne kadarının veritabanında yer aldığı bilinmiyor.
Şirket ne dedi?
Wyndham'ın açık bildirme kanalı bulunmadığı için araştırmacı TechCrunch'tan şirkete ulaşmasını istedi. TechCrunch'ın Wyndham güvenlik ekibiyle temasından kısa süre sonra açıktaki kimlik bilgisi iptal edildi ve veritabanına erişim kesildi. Şirket sözcüsü, ekibin sorunu gidermek için adım attığını ve "yetkisiz erişime dair herhangi bir kanıt bulunmadığını" söyledi.
Wyndham; araştırmacıdan önceki erişimleri kontrol edecek sunucu günlüklerinin olup olmadığı, müşterileri bilgilendirip bilgilendirmeyeceği, parolanın uygulamada ne kadar süre kaldığı ve olayı ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) bildirip bildirmeyeceği sorularını yanıtlamadı. Şirketin siber güvenlik direktörü, araştırmacıların bulgularını bir güvenlik e-posta adresine iletebileceğini belirtti.
Aynı araştırmacıdan iki haftada ikinci bulgu
TechCrunch'a göre bu, Wiggins'in iki hafta içinde kamuya açıkladığı ikinci gömülü kimlik bilgisi bulgusu; ilki Applebee's uygulamasındaki benzer bir açıktı. Araştırmacı her iki bulguda da decompile edilmiş uygulama kodunu tarayan AI araçlarından yararlandı. Uygulamaya gömülen bir parola, uygulamanın kopyasına sahip herkes tarafından çıkarılabildiği için bu tür açıklar genellikle en yüksek önem derecesiyle değerlendiriliyor.
Ne yapılmalı?
- Wyndham üyeleri, oturum token'larının açıkta kaldığı bildirildiği için uygulamada ve web sitesinde oturumu kapatıp yeniden açabilir ve hesap hareketlerini kontrol edebilir.
- Wyndham adına gelen, üyelik numarası veya rezervasyon bilgisi içeren e-postalara karşı dikkatli olun; bu veriler oltalama mesajlarını daha inandırıcı kılabilir.
- Mobil uygulama geliştiren kurumlar, uygulama paketine hiçbir arka uç parolası, API anahtarı veya servis hesabı bilgisi gömmemeli; kimlik bilgileri sunucu tarafında tutulmalı ve kısa ömürlü token'larla erişim verilmelidir.
- Yayındaki uygulama paketlerinizi gizli bilgi tarayıcılarıyla düzenli olarak denetleyin ve araştırmacıların açık bildirebileceği bir vulnerability disclosure kanalı (ör. security.txt) yayımlayın.
