Wyndham a confirmé un incident de cybersécurité après qu’un chercheur en sécurité ait découvert une vulnérabilité dans son application Android, exposant ainsi les informations personnelles des clients. Cette faille a permis d’accéder à une base de données interne hébergée par Salesforce, affectant potentiellement des millions de dossiers clients, rapporte 24brussels.
Robert Wiggins, chercheur en sécurité chez What Security, a signalé avoir trouvé un mot de passe intégré dans le code source de l’application, permettant l’accès à des données sensibles telles que les noms des clients, les adresses e-mail et les numéros d’adhésion. La base de données contenant également des jetons de connexion utilisateur, connus sous le nom de JSON Web Tokens (JWT), ainsi que divers fichiers et documents de Wyndham.
Bien que Wiggins ait noté que la base de données contain millions d’entrées, il n’a pas pu déterminer le nombre exact de dossiers exposés. Wyndham affirme compter environ 129 millions de membres de son programme de fidélité.
Le chercheur a exprimé des préoccupations concernant les procédures de signalement des vulnérabilités de sécurité de Wyndham, affirmant que l’entreprise ne dispose pas d’un système pour signaler de tels problèmes. Suite à la notification de Wiggins à TechCrunch, l’équipe de cybersécurité de Wyndham a révoqué les identifiants exposés afin de limiter tout accès ultérieur.
Un porte-parole de Wyndham a déclaré : « Notre équipe a pris des mesures pour résoudre le problème », ajoutant qu’ils n’avaient pas de preuve d’accès non autorisé, mais n’a pas fourni davantage de détails pour appuyer cette affirmation.
Wyndham n’a pas précisé s’il avait les capacités techniques, telles que les journaux de serveur, pour établir si un accès à la base de données avait eu lieu avant la découverte de la faille. Lorsque TechCrunch a demandé si les clients touchés par l’incident auraient été informés ou si l’entreprise allait en informer les régulateurs américains, la société a refusé de répondre.
Le porte-parole n’a pas non plus pu indiquer combien de temps le mot de passe avait été présent dans l’application ni les plans d’une solution à long terme.
Les développeurs évitent généralement d’intégrer des mots de passe dans des logiciels diffusés publiquement, une pratique connue sous le nom de « hardcoding ». Ce procédé est largement considéré comme non sécurisé car il permet à quiconque ayant accès au logiciel d’exploiter les identifiants pour un accès non autorisé.
Pour Wiggins, cet incident marque sa deuxième découverte de mots de passe intégrés en deux semaines, après une vulnérabilité similaire trouvée dans une application d’Applebee’s. Il a utilisé des outils d’IA pour identifier ces failles de sécurité en analysant rapidement des milliers de lignes de code de l’application.
Commentant la réponse de Wyndham, Wiggins a exprimé son soulagement que la société ait agi pour rectifier le problème, mais a soulevé des inquiétudes quant au potentiel d’exploitation malveillante si la vulnérabilité était passée inaperçue.
Wyndham n’a pas indiqué s’il établira un programme de divulgation des vulnérabilités permettant aux chercheurs en sécurité externes de signaler les problèmes de manière confidentielle. Michael Francess, directeur de la cybersécurité chez Wyndham, a déclaré que les chercheurs pouvaient signaler d’éventuels problèmes de sécurité par e-mail, mais le porte-parole n’a pas commenté les intentions de modifier leur site Web pour faciliter ces alertes.
Cet incident fait suite à des violations de sécurité connues antérieures impliquant Wyndham. En 2024, un chercheur a découvert un logiciel espion fonctionnant sur des systèmes d’enregistrement à l’hôtel, qui fuyait des informations sur les clients. Par la suite, l’application de logiciel espion a été piratée, entraînant le vol de données clients et la fermeture de l’entreprise responsable de son développement.
