Wyndham müşteri veritabanı, Android uygulamasına gömülü şifre nedeniyle açığa çıktı

Otel ve tatil köyü devi Wyndham, bir araştırmacının şirketin Android uygulamasının kaynak koduna gömülü çalışan bir şifre keşfetmesinin ardından, müşteri verilerine erişime izin veren bir güvenlik açığını doğruladı.

TechCrunch'a göre, What Security'den araştırmacı Robert Wiggins, gömülü (hardcoded) şifrenin Salesforce tarafından barındırılan dahili bir Wyndham veritabanını açtığını tespit etti. Veritabanında müşteri adları, e-posta adresleri ve Wyndham üye numaralarının yanı sıra, uygulama kullanıcılarının şifrelerini yeniden girmeden oturum açık kalmasını sağlayan JWT adlı oturum açma token'ları bulunuyordu. Dahili Wyndham dosyaları ve belgeleri de orada saklanıyordu.

Milyonlarca kayıt, kesin sayı yok

Wiggins, TechCrunch'a veritabanında milyonlarca kayıt olduğunu, ancak kaç müşteri kaydının açığa çıktığını belirleyemediğini söyledi. Karşılaştırma için: Wyndham, yaklaşık 129 milyon kayıtlı sadakat programı üyesi olduğunu belirtiyor.

Çözüm basın sayesinde geldi

Wiggins, Wyndham'ın güvenlik açıklarını bildirmek için bir kanalı olmadığını, bu yüzden TechCrunch'dan şirket adına durumu bildirmesini istediğini söyledi. Yayın kuruluşu Wyndham'ın siber güvenlik ekibiyle temas kurduktan kısa süre sonra erişim bilgisi geçersiz kılındı ve veritabanına artık bu bilgiyle ulaşılamadı.

"Ekibimiz sorunu çözmek için adımlar attı," dedi bir Wyndham sözcüsü TechCrunch'a; şirketin güvenlik ekiplerinin "yetkisiz erişim olduğuna dair hiçbir kanıt bulamadığını" ekledi — ancak bu iddiayı destekleyecek ayrıntı vermedi. Wyndham'ın, Wiggins keşfetmeden önce veritabanına erişilip erişilmediğini kontrol etmek için sunucu kayıtları gibi teknik araçlara gerçekten sahip olup olmadığı sorulduğunda sözcü cevap vermekten kaçındı.

Şirket ayrıca etkilenen müşterileri bilgilendirmeyi planlayıp planlamadığını, olayı ABD Menkul Kıymetler ve Borsa Komisyonu gibi ABD düzenleyicilerine bildirip bildirmeyeceğini, şifrenin ne kadar süredir uygulamaya gömülü olduğunu veya sorunu kalıcı olarak nasıl çözmeyi düşündüğünü de açıklamadı.

Ders kitabından bir hata, yapay zekâyla keşfedildi

Halka yayınlanan yazılıma gizli bilgiler gömmek, uygulamayı edinen herkesin bu erişim bilgisini çıkarıp koruduğu sistemlere karşı kullanabilmesi nedeniyle yaygın olarak tavsiye edilmeyen bir uygulamadır. Kötüye kullanım bu kadar kolay olduğundan, gömülü erişim bilgileri standart güvenlik açığı puanlama sistemlerinde sıklıkla en yüksek önem derecesini alır.

Bu, Wiggins'in iki haftadaki ikinci benzer buluşuydu; daha önce Applebee's uygulamasında benzer bir açık ortaya çıkarmıştı. Her iki keşif için de yapay zekâ araçlarına güven olduğunu belirterek, bu araçların derlenmiş uygulama kodunu insan bir gözden geçirenden çok daha hızlı inceleyebildiğini, dolayısıyla gömülü şifreler gibi basit hataların yakalanmasını kolaylaştırdığını söyledi. Wiggins, Wyndham'ın çözümünü memnuniyetle karşıladı ancak geçmişe dönük etkinliğe dair hiçbir görünüm olmadan, kötü niyetli bir aktörün büyük miktarda müşteri verisini fark edilmeden ele geçirmiş olabileceği konusunda uyardı.

Wyndham, bir güvenlik açığı bildirim programı başlatma taahhüdünde bulunmadı. Olayı yöneten Wyndham'ın siber güvenlik direktörü Michael Francess, TechCrunch'a araştırmacıların olası güvenlik sorunlarının ayrıntılarıyla şirkete e-posta yoluyla ulaşabileceklerini söyledi; ancak sözcü, web sitesinin araştırmacıları buraya yönlendirecek şekilde güncellenip güncellenmeyeceğini belirtmedi.

Bir dizi olayın en yenisi

TechCrunch'un da belirttiği gibi, bu Wyndham'ın yakın zamanda yaşadığı ilk güvenlik sorunu değil. 2024'te bir araştırmacı, birkaç Wyndham otelindeki check-in masalarının, misafir kayıtlarının ve rezervasyon ayrıntılarının ekran görüntülerini açık web'e sızdıran pcTattletale adlı uzaktan erişim casus yazılımını çalıştırdığını keşfetti. O casus yazılım operasyonunun kendisi de daha sonra hack'lendi ve verileri çalındı; sahibi Bryan Fleming federal yetkililer tarafından tutuklandı ve yasa dışı casus yazılım nedeniyle mahkûm edildi.

Neden önemli

Bu olay, önlenebilir bir başarısızlığın ders kitabı örneği: kişisel bilgilerle dolu bir veritabanını koruyan, canlı bir erişim bilgisi halka açık bir uygulamanın içinde yayınlandı. JWT'lerin varlığı özellikle dikkat deserve, çünkü çalınan oturum token'ları bir saldırganın kurbanın şifresine hiç ihtiyaç duymadan hesapları ele geçirmesini sağlayabilir.

Olay ayrıca, kötüye kullanım kanıtı bulunmaması ile kötüye kullanımı tespit etme yeteneğine sahip olmak arasındaki uçurumu gözler önüne seriyor. Bir şirket geçmiş erişimi denetlemek için gereken kayıtlara sahip olduğunu doğrulayamıyorsa veya doğrulamak istemiyorsa, müşterilerin kayıtlarına dokunulup dokunulmadığını bilmesinin bir yolu yok. Ve yapay zekâ destekli analiz derlenmiş uygulama kodunu hızla çözdükçe, bir zamanlar gözden uzakta saklanan özensiz gizli bilgiler ortaya çıkmaya devam edecek. Dışarıdan gelen araştırmacıların bildirimlerini alacak bir yolu olmayan şirketler, güvenlik açıkları hakkında bilgileri gazetecilerden öğrenmeye devam edecek.