ווינדאם הוטלס: חשיפת נתוני לקוחות מעוררת חששות לגבי אבטחת האפליקציה לאנדרואיד

12:35

ווינדאם הוטלס & ריזורטס, אחת מקבוצות האירוח הגדולות בעולם, נתונה לבחינה מחודשת לגבי נהלי האבטחה הדיגיטלית שלה לאחר שפרצה באפליקציה לאנדרואיד חשפה גישה למסד נתונים פנימי המכיל מידע על לקוחות.

האירוע נחשף בעקבות חקירה של חוקרת אבטחת מידע רוברט ויגינס מ-What Security. גילויו חשף שסיסמה הוטמעה ישירות בקוד המקור של האפליקציה הניידת של ווינדאם, מה שעשוי לאפשר לכל מי שימשיך את ההסמכה להתחבר למסד נתונים פנימי הממוקם על Salesforce.

המידע שנחשף כלל ככל הנראה את שמות הלקוחות, כתובות דוא"ל ומספרי חברי נאמנות של ווינדאם. מסד הנתונים הכיל גם אסימוני אימות, הידועים כאסימוני JSON Web (JWTs), המאפשרים למשתמשים להישאר מחוברים לחשבונותיהם מבלי להזין שוב את הסיסמאות שלהם.

החוקר גם זיהה מסמכים של החברה וקבצים נוספים בתוך מסד הנתונים הנגיש.

מיליוני רשומות במסד הנתונים מעוררות חששות

למרות שהמספר המדויק של רשומות הלקוחות שנפגעו עדיין לא נקבע, ויגינס דיווח כי מסד הנתונים מכיל מיליוני רשומות. היקף הגילוי משך תשומת לב רבה לאור בסיס הלקוחות הרחב של ווינדאם, כאשר החברה דיווחה על כ-129 מיליון חברי תגמולים רשומים.

החשיפה הפוטנציאלית של אסימוני האימות מוסיפה מימד נוסף לאירוע. בניגוד למידע קשר רגיל, אישורים דיגיטליים אלה יכולים לשמור על גישה לחשבונות המשתמשים, מה שהופך את ההגנה עליהם לחשובה במיוחד.

עם זאת, נכון לעכשיו אין ראיות מאושרות לכך ששחקנים זדוניים ניצלו את הפגיעות או גישו את המידע של הלקוחות ללא אישור.

ווינדאם מבטלת את ההסמכות שנחשפו לאחר ההודעה

החולשה האבטחתית טופלה לאחר ש-TechCrunch פנה לצוות האבטחה הדיגיטלית של ווינדאם לגבי ממצאי החוקרת. החברה לאחר מכן ביטלה את ההסמכה המפוקפקת, ומנעה גישה נוספת דרך הסיסמה שנחשפה.

בהודעה, נציג ווינדאם אמר כי החברה נקטה בצעדים מתקנים וכי צוותי האבטחה שלה לא מצאו ראיות לגישה בלתי מורשית.

עם זאת, שאלות חשובות נותרו ללא תשובה. ווינדאם לא הבהירה כמה זמן הסיסמה הייתה נוכחת באפליקציה שלה, האם המערכות שלה יכולות לקבוע אם מסד הנתונים גישה קודם לכן על ידי צדדים בלתי מורשים, או אם לקוחות שהמידע שלהם עשוי היה להיחשף יקבלו הודעות אישיות.

החברה גם לא ציינה אילו צעדים טכניים נוספים היא מתכוונת להציג כדי למנוע אירועים דומים.

סיסמאות קבועות מדגישות סיכון אבטחה יסודי

הפגיעות מדגימה בעיה ידועה בפיתוח אפליקציות: הסמכות קבועות. פרקטיקה זו כוללת הנחת סיסמאות או מידע רגיש אחר ישירות בקוד התוכנה המופץ למשתמשים.

מכיוון שאפליקציות ניידות יכולות להיבדק ולהפוך, הטמעת הסמכות בתוכנה המופצת לציבור יוצרת חולשת אבטחה שניתן להימנע ממנה. לאחר שהמידע הופק, הוא יכול לספק גישה למערכות שהמפתחים התכוונו לשמור פרטיות.

האירוע גם מדגים כיצד אינטליגנציה מלאכותית משנה את מחקרי אבטחת המידע. ויגינס ככל הנראה השתמש בכלים מונעי AI כדי לבדוק קוד אפליקציות שהופקו ולזהות חולשות בצורה יעילה יותר.

זה היה הגילוי השני שלו שדווח בפומבי על בעיית אבטחה דומה תוך שבועיים. הוא זיהה בעבר פגיעות דומה באפליקציה הניידת של רשת המסעדות אפלבי, שם הסמכות שנחשפו גם יצרו סיכון למידע על לקוחות.

חשיפה אחראית נותרת אתגר

הנסיבות סביב הגילוי עוררו גם שאלות לגבי כיצד חברות מתקשרות עם חוקרי אבטחת מידע עצמאיים.

ויגינס אמר כי ווינדאם לא סיפקה ערוץ קל לזיהוי לדיווח על פגיעויות אבטחה, מה שהניע אותו לחפש סיוע מ-TechCrunch כדי להגיע למחלקת האבטחה של החברה.

בעקבות האירוע, מנהל האבטחה הדיגיטלית של ווינדאם, מייקל פרנסס, ציין כי חוקרים יכולים להגיש חששות פוטנציאליים לגבי אבטחה דרך כתובת הדוא"ל של האבטחה של החברה.

הפרק מדגיש את החשיבות של הקמת הליכי גילוי פגיעויות נגישים, המאפשרים למומחים עצמאיים לדווח על חולשות טכניות לפני שניתן לנצל אותן.

בעיות אבטחה קודמות מוסיפות ללחץ

האירוע האחרון מגיע לאחר בעיה נוספת הקשורה לאבטחת מידע שנוגעת למלונות ווינדאם בשנת 2024. באותה תקופה, חוקרים גילו תוכנת ריגול עם גישה מרחוק שפעלה על מספר מחשבי צ'ק-אין במלונות. התוכנה חשפה ככל הנראה צילומי מסך המכילים רשומות אורחים ומידע על הזמנות באינטרנט.

חזרת בעיות האבטחה מדגישה את האחריות של תעשיית האירוח להגן על המידע האישי שנאסף דרך הזמנות דיגיטליות, תוכניות נאמנות ואפליקציות ניידות.

כשהמפעילים במלונות סומכים יותר ויותר על פלטפורמות מקושרות ושירותים מבוססי ענן, אבטחת מסדי נתונים של לקוחות הפכה לחלק חיוני בשמירה על אמון הצרכנים.

עבור ווינדאם, ביטול ההסמכה שנחשפה מייצג תגובה מיידית, אך חוסר התשובות הברורות לגבי גישת מסד הנתונים ההיסטורית משאיר שאלה חשובה לא פתורה: האם החברה יכולה לקבוע שהמידע של הלקוחות נשמר מוגן לפני שהפגיעות התגלתה.