Wyndham、アプリ内パスワード露出で顧客情報流出
原題: Hotel giant Wyndham exposed customer data after app security lapse
なぜ重要か
1億2900万人規模の会員データに関わる可能性があり、ホテル業界のアプリセキュリティ管理水準が問われる事案。
ホテル大手Wyndhamは2026年11月9日、Android公式アプリのソースコードにパスワードが埋め込まれていたことを確認した。セキュリティ研究者Robert Wiggins氏がこの認証情報を発見し、Salesforce上の内部データベースへのアクセスが誰でも可能な状態だったと判明。同データベースには顧客の氏名・メールアドレス・会員番号・ログイントークン（JWT）が含まれており、同社の登録報酬会員数は約1億2900万人に上る。
セキュリティ研究者のRobert Wiggins氏（What Security）は、WyndhamのAndroidアプリのソースコード内にハードコードされたパスワードを発見した。このパスワードを使えば、Salesforceがホストする内部データベースに誰でもアクセスできる状態だった。
流出の可能性があるデータは、顧客の氏名・メールアドレス・会員番号に加え、ログイン状態を維持するためのJWT（JSON Web Token）など。さらに同データベースには社内ファイルや文書も保存されていたという。Wiggins氏はデータベース内に数百万件のエントリが存在することを確認したが、正確な影響人数の特定には至らなかった。
Wyndhamは脆弱性を報告する公式窓口を設けておらず、Wiggins氏はTechCrunchを通じて同社のセキュリティ担当者に連絡を依頼。報告後まもなく、問題の認証情報は無効化された。
広報担当者は「問題への対処を講じた」「不正アクセスの証拠はない」とコメントしたものの、不正アクセスの有無を検証するサーバーログの存在、顧客への通知予定、米証券取引委員会（SEC）への開示義務対応、アプリへの長期的な修正計画については、いずれも回答を拒否した。
そもそも「ハードコード」とは、パスワードや認証情報をソースコードに直接書き込む手法で、業界では基本的なミスとして認識されている。誰でもアプリのコードから認証情報を抽出できるため、多くのセキュリティ評価基準で最高レベルの深刻度が付与される。
なお、Wiggins氏は2週間以内に同種の脆弱性をApplebeeのアプリでも発見しており、今回が2例目の公表となる。