L'appli Android de Wyndham contenait un mot de passe en dur exposant des données clients, selon un chercheur
L'identifiant ouvrait une base hébergée chez Salesforce avec noms, courriels, numéros de membre et jetons de connexion ; Wyndham l'a révoqué après le contact de TechCrunch et dit n'avoir aucune preuve d'accès non autorisé.
Pourquoi c’est important
Wyndham revendique environ 129 millions de membres fidélité, si bien qu'un seul mot de passe laissé dans le code de l'appli exposait une très large clientèle. Le chercheur Robert Wiggins, de What Security, a trouvé l'identifiant et dit que la base comptait des millions d'entrées, sans pouvoir chiffrer les dossiers clients exposés. Elle stockait aussi des jetons qui maintiennent la connexion. Wyndham n'a pas dit s'il dispose de journaux pour vérifier des accès antérieurs. À suivre : une notification aux clients ou aux régulateurs.
Faits clés
- Mot de passe trouvé dans le code de l'appli Android de Wyndham
- Base hébergée par Salesforce
- Noms, courriels, numéros de membre et jetons exposés
- Découvert par Robert Wiggins, de What Security
- Wyndham revendique quelque 129 millions de membres