Wyndhams Android-App enthielt ein fest eingebautes Passwort, das Kundendaten offenlegte, sagt ein Forscher
Die Zugangsdaten öffneten eine bei Salesforce gehostete Datenbank mit Namen, E-Mails, Mitgliedsnummern und Login-Tokens; Wyndham widerrief sie nach Kontakt durch TechCrunch und sieht keine Hinweise auf unbefugten Zugriff.
Warum es wichtig ist
Wyndham nennt rund 129 Millionen Mitglieder im Prämienprogramm, ein einziges im App-Code belassenes Passwort gefährdete also einen sehr großen Kundenstamm. Sicherheitsforscher Robert Wiggins von What Security fand die Zugangsdaten und sagte, die Datenbank habe Millionen Einträge gehabt, die Zahl betroffener Kundendatensätze konnte er aber nicht bestimmen. Sie speicherte auch Tokens, die Kunden angemeldet halten. Wyndham sagte nicht, ob es Protokolle gibt, um frühere Zugriffe zu prüfen. Zu beobachten ist, ob Kunden oder Behörden informiert werden.
Die wichtigsten Fakten
- Passwort im Quellcode von Wyndhams Android-App gefunden
- Datenbank bei Salesforce gehostet
- Namen, E-Mails, Mitgliedsnummern und Login-Tokens offengelegt
- Entdeckt von Robert Wiggins von What Security
- Wyndham nennt rund 129 Millionen Prämienmitglieder