温德姆酒店：客户数据泄露引发对安卓应用安全的担忧
温德姆酒店及度假村是全球最大的酒店集团之一，因其安卓应用程序中的一个漏洞而面临对其数字安全实践的重新审视，该漏洞使得访问包含客户信息的内部数据库成为可能。
这一事件是在网络安全研究员罗伯特·维金斯（Robert Wiggins）对What Security的调查后曝光的。他的发现揭示了一个密码被直接嵌入温德姆移动应用的源代码中，任何提取该凭证的人都有可能连接到托管在Salesforce上的内部数据库。
泄露的信息据报道包括客户的姓名、电子邮件地址和温德姆忠诚会员号码。该数据库还包含身份验证令牌，称为JSON Web Tokens（JWTs），允许用户在不重复输入密码的情况下保持登录状态。
研究员还在可访问的数据库中发现了公司文件和其他文件。
数百万条数据库记录引发担忧
尽管受影响的客户记录确切数量尚未确定，但维金斯报告称该数据库包含数百万条记录。考虑到温德姆拥有大约1.29亿名注册奖励会员，这一发现的规模引起了特别关注。
身份验证令牌的潜在泄露为这一事件增添了另一个维度。与普通联系信息不同，这些数字凭证可以保持用户账户的访问权限，使其保护变得尤为重要。
然而，目前没有确凿证据表明恶意行为者利用了该漏洞或未经授权访问了客户信息。
温德姆在通知后撤销泄露凭证
在TechCrunch联系温德姆的网络安全团队后，该安全漏洞得到了处理。该公司随后撤销了受损的凭证，阻止了通过泄露密码的进一步访问。
温德姆的一位发言人表示，公司已采取纠正措施，安全团队未发现未经授权访问的证据。
尽管如此，仍然有重要问题未得到解答。温德姆尚未澄清该密码在其应用中存在了多长时间，是否可以确定数据库是否曾被未经授权的方访问，或是否可能泄露信息的客户将收到个别通知。
该公司也没有具体说明将采取哪些额外技术措施以防止类似事件的发生。
硬编码密码突显基本安全风险
该漏洞展示了应用开发中的一个众所周知的问题：硬编码凭证。这种做法涉及将密码或其他敏感身份验证信息直接放入分发给用户的软件代码中。
由于移动应用程序可以被检查和反向工程，因此在公开分发的软件中嵌入凭证会造成可避免的安全弱点。一旦提取，这些信息可能会提供访问开发者意图保持私密的系统的权限。
这一事件还展示了人工智能如何改变网络安全研究。维金斯据报道使用了人工智能驱动的工具来检查反编译的应用代码，更有效地识别弱点。
这是他在两周内第二次公开报告类似安全问题。他此前在餐饮连锁店Applebee's的移动应用中发现了可比拟的漏洞，泄露的凭证同样对客户信息构成风险。
负责任的披露仍然是一个挑战
围绕这一发现的情况也引发了关于公司如何与独立安全研究人员沟通的问题。
维金斯表示，温德姆没有提供一个易于识别的渠道来报告安全漏洞，这促使他寻求TechCrunch的帮助以联系公司的网络安全部门。
在事件发生后，温德姆网络安全主任迈克尔·弗朗西斯（Michael Francess）表示，研究人员可以通过公司的安全电子邮件地址提交潜在的安全问题。
这一事件突显了建立可访问的漏洞披露程序的重要性，使独立专家能够在技术弱点被利用之前报告它们。
以往的安全问题增加了压力
最新事件发生在2024年，彼时温德姆的物业也出现了另一个与网络安全相关的问题。当时，研究人员发现多个酒店入住电脑上运行着远程访问间谍软件。该软件据报道在线泄露了包含客户记录和预订信息的屏幕截图。
安全问题的再次出现使得酒店行业在保护通过数字预订、忠诚计划和移动应用收集的个人信息方面的责任更加突出。
随着酒店运营商越来越依赖互联平台和基于云的服务，确保客户数据库的安全已成为维护消费者信任的重要部分。
对于温德姆而言，撤销泄露的凭证代表了一种立即响应，但关于历史数据库访问的缺乏明确答案留下了一个重要问题未解决：公司是否能够确认客户信息在发现漏洞之前保持受保护状态。