Wyndham Bocorkan Data Pelanggan Akibat Celah Keamanan Aplikasi
Judul asli: Hotel giant Wyndham exposed customer data after app security lapse
Mengapa Ini Penting
Insiden ini memperlihatkan risiko serius hardcoded credentials di aplikasi konsumen berskala besar.
Peneliti keamanan temukan password tertanam di kode sumber aplikasi Android Wyndham, membuka akses ke database Salesforce berisi data jutaan anggota rewards.
Peneliti keamanan Robert Wiggins dari What Security menemukan sebuah password yang tertanam (hardcoded) di dalam kode sumber aplikasi Android milik Wyndham. Password tersebut memberi akses langsung ke database internal perusahaan yang dihosting oleh Salesforce. Data yang terekspos mencakup nama pelanggan, alamat email, nomor anggota Wyndham, serta token login (JWT) yang digunakan agar pelanggan tetap masuk ke aplikasi tanpa harus memasukkan ulang kata sandi. Database itu juga menyimpan dokumen internal perusahaan.
Wiggins menyebut database tersebut berisi jutaan entri, meski jumlah pasti akun yang terekspos belum bisa dipastikan. Wyndham sendiri mengklaim memiliki 129 juta anggota rewards terdaftar. Karena Wyndham tidak menyediakan saluran pelaporan celah keamanan, Wiggins meminta bantuan TechCrunch untuk menghubungi pihak perusahaan. Tak lama setelah TechCrunch mengontak tim keamanan siber Wyndham, akses ke database segera dicabut.
"Tim kami telah mengambil langkah untuk menangani masalah ini," kata juru bicara Wyndham. Namun perusahaan menolak menjawab apakah ada akses tidak sah sebelumnya, apakah akan memberi tahu pelanggan yang terdampak, atau apakah akan melaporkan insiden ini ke regulator AS seperti SEC. Ini adalah temuan hardcoded credential kedua Wiggins dalam dua minggu, setelah sebelumnya ia menemukan celah serupa di aplikasi Applebee's.