Wyndham uygulamasında güvenlik açığı: Müşteri bilgileri açıkta kaldı
Wyndham'ın Android uygulamasının kodunda unutulan bir parola, otel devinin müşteri veritabanını isteyen herkese açtı. Şirket açığı kapattı.
Dünyanın en büyük otel zincirlerinden Wyndham, müşteri uygulamasında ortaya çıkan bir güvenlik açığını kabul etti. Android uygulamasının koduna gömülü kalmış bir parola, şirketin Salesforce üzerinde tuttuğu iç veritabanına erişmeyi mümkün kılıyordu.
Açığı bulan kişi What Security’den güvenlik araştırmacısı Robert Wiggins. TechCrunch’a anlattığına göre bu parolayla müşterilerin adlarına, e-posta adreslerine ve Wyndham üyelik numaralarına ulaşılabiliyordu. Veritabanında ayrıca uygulamada oturumu açık tutan giriş anahtarları (JWT) ile şirkete ait dosyalar da duruyordu. Wiggins kayıt sayısının milyonlarla ifade edildiğini, ama kaç müşterinin etkilendiğini kesin olarak çıkaramadığını söylüyor. Şirketin sadakat programında 129 milyon üye var.
Bunu da okuyun: Claude Code ayar dosyası GitHub’da 2.539 parola ve anahtarı açığa çıkardı
Wyndham ne dedi?
Wiggins, şirkette açık bildirecek bir kanal bulamayınca TechCrunch’tan yardım istedi. Gazete Wyndham’ın güvenlik ekibine ulaştıktan kısa süre sonra parola iptal edildi. Şirket sözcüsü, sorunu gidermek için adım attıklarını ve yetkisiz bir erişime dair kanıt bulmadıklarını söyledi. Ancak parolanın uygulamada ne kadar süre kaldığı, geçmişteki erişimleri gösterecek sunucu kayıtlarının olup olmadığı ve müşterilere bildirim yapılıp yapılmayacağı sorularını yanıtsız bıraktı.
Parolayı doğrudan uygulamanın içine yazmak (“hardcoding”) yazılım dünyasında en bilinen hatalardan biri sayılıyor: Uygulamayı indiren herkes kodu açıp parolayı çekebiliyor. Wiggins, iki hafta önce Applebee’s uygulamasında da neredeyse aynı açığı bulmuştu. İki keşifte de çözümlenmiş uygulama kodunu saniyede binlerce satır tarayan yapay zekâ araçlarından yararlandığını belirtiyor.
Wyndham’ın adı daha önce de güvenlik haberlerine karışmıştı. 2024’te bazı otellerinin resepsiyon bilgisayarlarında misafir kayıtlarının ekran görüntülerini internete sızdıran pcTattletale adlı casus yazılım bulunmuştu. Yakın tarihli başka bir veri olayı için Hepsiburada veri ihlali haberimize bakabilirsiniz.
Wyndham uygulamasını kullananların, şirketten bir açıklama gelene kadar hesaplarındaki parolayı değiştirmesi ve kendilerine gelen “üyelik” konulu e-postalara karşı dikkatli olması iyi olur.
Kaynak: TechCrunch
Haberlerimizi Google'da önce gör
Gündemde Olan'ı tercih ettiğin kaynaklara ekle, aramalarda haberlerimiz öne çıksın.
