Wyndham Hotels & Resorts confirmó que una falla de seguridad en su aplicación para Android dejó expuestos datos personales de clientes y tokens de inicio de sesión. El problema se habría originado por credenciales internas integradas directamente en el código de la aplicación.
La compañía, una de las mayores cadenas hoteleras del mundo, confirmó el incidente a TechCrunch después de que el investigador de seguridad Robert Wiggins, de What Security, alertara al medio. Al analizar la app, Wiggins encontró credenciales codificadas que le permitieron acceder a una base de datos interna.
Las credenciales integradas en el código —conocidas como credenciales hardcodeadas— suelen utilizarse durante el desarrollo para facilitar las pruebas. Sin embargo, deben retirarse antes de publicar una aplicación. Si permanecen en la versión final, pueden ofrecer una vía de acceso a sistemas y datos que deberían estar protegidos.
## Datos personales y tokens de acceso
Según el investigador, la base de datos contenía nombres, direcciones de correo electrónico, números de membresía de Wyndham y tokens JWT. Estos tokens permiten que una persona permanezca conectada a una aplicación y, si siguen vigentes, podrían permitir el acceso a una cuenta sin conocer su contraseña.
La exposición de datos personales también puede facilitar intentos de fraude y campañas de phishing más convincentes. Los atacantes podrían aprovechar información como nombres y correos electrónicos para hacerse pasar por la empresa, inducir a clientes a revelar más datos o dirigirlos a enlaces maliciosos.
Wiggins señaló que la base contenía millones de registros, aunque no pudo establecer una cifra precisa. Wyndham afirma tener 129 millones de miembros inscritos en su programa de recompensas, pero esa cifra no indica cuántas personas estuvieron afectadas por esta falla.
La empresa indicó que tomó medidas para corregir el problema. “Nuestros equipos han tomado medidas para abordar el problema”, dijo un portavoz de Wyndham a TechCrunch. También afirmó que sus equipos de seguridad no encontraron indicios de acceso no autorizado.
## Preguntas pendientes sobre el alcance
Aunque la vulnerabilidad fue corregida, todavía no se conoce cuánto tiempo estuvo expuesta la base de datos ni qué versiones de la aplicación contenían las credenciales. Tampoco está claro si alguien accedió o descargó información antes de que el investigador detectara el problema. La compañía no ofreció detalles adicionales sobre su revisión de los registros de actividad.
Por ahora, tampoco se han divulgado públicamente cifras sobre los clientes potencialmente afectados ni se han compartido detalles específicos sobre las notificaciones a los usuarios. Los requisitos de comunicación y notificación pueden variar según la jurisdicción y las circunstancias del incidente.
Este es el segundo caso reciente de credenciales integradas en una aplicación móvil descubierto por Wiggins. A comienzos de noviembre, se informó de una falla similar en la app para Android de Applebee’s, que habría expuesto diversos datos de clientes. En ambos incidentes, el número exacto de personas afectadas sigue sin aclararse.
El caso de Wyndham subraya la importancia de retirar las credenciales de prueba antes de publicar una aplicación y de revisar de forma continua los accesos a las bases de datos. También pone de relieve que corregir una vulnerabilidad es solo una parte de la respuesta: establecer cuánto tiempo estuvo presente y si hubo accesos indebidos es clave para comprender el impacto y mantener informados a los clientes.
from Latest from TechRadar https://ift.tt/3LvNZgH
via IFTTT IA
