Wyndham : fuite de données clients via l'app Android
Original : Hotel giant Wyndham exposed customer data after app security lapse
Pourquoi c'est important
Les credentials codés en dur reçoivent automatiquement le niveau de sévérité maximum.
Wyndham a exposé des données personnelles de clients après qu'un chercheur en sécurité a trouvé un mot de passe codé en dur dans son app Android, donnant accès à une base Salesforce contenant noms, e-mails et tokens de connexion.
Le chercheur Robert Wiggins (What Security) a découvert un mot de passe intégré directement dans le code source de l'application Android de Wyndham. Ce credential donnait accès à une base de données interne hébergée sur Salesforce, contenant noms, adresses e-mail, numéros de membres et tokens JWT — ces jetons qui maintiennent les utilisateurs connectés sans ressaisir leur mot de passe. Des fichiers internes de l'entreprise s'y trouvaient aussi.
La base comptait des millions d'entrées. Wyndham revendique 129 millions de membres fidélité. Wiggins n'a pas pu établir le nombre exact de comptes exposés.
Faute de canal de signalement chez Wyndham, le chercheur a contacté TechCrunch pour alerter l'entreprise. Le credential a été révoqué peu après. "Notre équipe a pris des mesures pour résoudre le problème", a déclaré un porte-parole, ajoutant qu'"aucune preuve d'accès non autorisé" n'avait été trouvée — sans préciser si les logs serveurs permettaient réellement de le vérifier.
Wyndham n'a pas répondu aux questions sur une éventuelle notification des clients ni sur une déclaration à la SEC, pourtant obligatoire pour les incidents matériels. La durée d'exposition du mot de passe et le plan de correction à long terme restent inconnus. C'est la deuxième découverte similaire de Wiggins en deux semaines, après une faille identique dans l'app Applebee's.