A rede internacional de hotéis Wyndham Hotels & Resorts confirmou uma falha de segurança em seu aplicativo para Android que deixou informações pessoais de clientes potencialmente acessíveis a terceiros.
O problema foi identificado pelo pesquisador Robert Wiggins, da empresa What Security, que encontrou uma senha de acesso diretamente no código do aplicativo.
A credencial permitia consultar um banco de dados corporativo hospedado na plataforma Salesforce.
Entre as informações acessíveis estavam nomes, endereços de e-mail, números de identificação de participantes do programa de fidelidade Wyndham Rewards e tokens utilizados para manter usuários conectados ao aplicativo.
O banco também armazenava documentos e arquivos internos da companhia.
Segundo o pesquisador, a base continha milhões de registros. Entretanto, não foi possível determinar quantos clientes tiveram informações expostas.
Após ser informada sobre a vulnerabilidade, a Wyndham revogou a credencial comprometida, impedindo novos acessos por esse mecanismo.
A empresa afirmou que suas equipes de segurança não encontraram evidências de acesso não autorizado aos dados.
Ainda não foi esclarecido por quanto tempo a senha permaneceu no aplicativo nem se a companhia dispõe de registros suficientes para verificar todos os acessos anteriores.
A vulnerabilidade evidencia os riscos de manter senhas e credenciais diretamente no código de aplicativos distribuídos ao público.
Até o momento, não há confirmação de roubo ou comercialização dos dados de clientes.
