Wyndham 앱 소스코드에 비밀번호 하드코딩, 고객 정보 노출
원제: Hotel giant Wyndham exposed customer data after app security lapse
왜 중요한가
1억 2,900만 명 규모 멤버십 데이터와 로그인 토큰 노출은 대규모 계정 탈취로 이어질 수 있어 호텔·여행 업계 앱 보안 전반에 경각심을 준다.
호텔 체인 Wyndham이 Android 앱 소스코드에 하드코딩된 비밀번호로 인해 고객 개인정보가 외부에 노출된 사실을 인정했다. 보안 연구원 Robert Wiggins가 해당 취약점을 발견해 TechCrunch를 통해 Wyndham에 알렸으며, 2026년 11월 9일 자격증명이 즉시 폐기됐다. 노출된 데이터베이스에는 수백만 건의 고객 이름, 이메일, 로그인 토큰이 포함됐다.
보안 연구원 Robert Wiggins(What Security)는 Wyndham의 Android 앱 소스코드 내부에 Salesforce가 호스팅하는 내부 데이터베이스 접근 비밀번호가 평문으로 삽입되어 있다는 사실을 발견했다. 해당 데이터베이스에는 고객 이름, 이메일 주소, Wyndham 멤버십 번호, 그리고 앱 자동 로그인에 사용되는 JWT(JSON Web Token) 형태의 로그인 토큰이 저장돼 있었다. 회사 내부 파일과 문서도 포함된 것으로 확인됐다.
Wiggins는 데이터베이스에 수백만 건의 항목이 있다고 밝혔으나 정확한 노출 고객 수는 특정하지 못했다. Wyndham은 약 1억 2,900만 명의 리워드 멤버를 보유하고 있다. 연구원은 Wyndham에 보안 취약점 신고 창구가 없어 TechCrunch의 도움을 요청했고, TechCrunch가 Wyndham 보안팀에 연락한 직후 문제의 자격증명이 폐기됐다.
Wyndham 대변인은 "팀이 해당 문제를 해결하기 위한 조치를 취했다"면서도 "보안팀에서 무단 접근의 증거는 발견되지 않았다"고 밝혔다. 그러나 사전 접근 여부를 확인할 서버 로그 보유 여부, 고객 통지 계획, SEC 공시 여부, 비밀번호가 앱에 얼마나 오래 존재했는지에 대해서는 모두 답변을 거부했다.
소스코드에 자격증명을 직접 삽입하는 '하드코딩'은 앱 복사본을 가진 누구나 비밀번호를 추출해 서버에 접근할 수 있어 보안 업계에서 금기시되며, 대부분의 보안 평가 기준에서 최고 심각도 취약점으로 분류된다. Wiggins는 2주 사이에 동일 유형의 취약점을 두 번 공개 발견했으며, 직전에는 Applebee's 앱에서 유사한 하드코딩 취약점을 찾아낸 바 있다.