La corporación hotelera Wyndham admitió una vulnerabilidad de seguridad informática luego de que un especialista encontrara una credencial incrustada en el código de su aplicación móvil para el sistema operativo Android. Dicha clave permitía ingresar a una base de datos interna que contenía nombres, direcciones de correo electrónico y números de afiliación de sus huéspedes.
El investigador Robert Wiggins, perteneciente a la empresa What Security, señaló a un medio especializado que la contraseña desbloqueaba una base corporativa alojada en Salesforce, un sistema de administración de relaciones con clientes. Cualquier usuario que tuviera la aplicación descargada podía obtener esa clave.
Junto a la información personal, la base almacenaba los tokens de autenticación de los usuarios, elementos que permiten mantener la sesión activa sin necesidad de ingresar la clave repetidamente. Asimismo, contenía documentos y archivos internos de la compañía.
Wiggins estimó que existían millones de registros en la base, aunque no logró precisar cuántos correspondían a clientes. Wyndham asegura contar con aproximadamente 129 millones de miembros inscritos en su programa de fidelización.
La empresa anuló la clave pero dejó interrogantes sin resolver
De acuerdo con Wiggins, Wyndham carece de un mecanismo para que investigadores externos notifiquen errores de seguridad, por lo que solicitó asistencia a un medio de comunicación para alertar a la cadena hotelera. Poco después de que ese canal se pusiera en contacto con el equipo de ciberseguridad de la firma, la credencial fue invalidada y el acceso quedó bloqueado.
Un representante de Wyndham declaró que su departamento actuó para solucionar el incidente y que sus especialistas en seguridad no han encontrado pruebas de intrusiones no autorizadas. Sin embargo, no proporcionó información que sustente dicha declaración.
La compañía tampoco reveló si dispone de bitácoras del servidor que indiquen si hubo accesos anteriores al descubrimiento. Wiggins advirtió que, sin ese registro, un atacante podría haber extraído volúmenes considerables de información de los clientes.
El vocero no aclaró durante cuánto tiempo la contraseña permaneció en la aplicación ni cuál será la solución permanente. Además, omitió responder si notificará a los clientes afectados o si reportará el incidente a entes reguladores como la Comisión de Bolsa y Valores de Estados Unidos (SEC), la cual obliga a las compañías que cotizan en bolsa a informar sobre incidentes de ciberseguridad relevantes.
Un fallo básico que la inteligencia artificial ayuda a detectar
Incrustar credenciales en el código de una aplicación, técnica denominada hardcoding, es una mala práctica que los programadores normalmente evitan. Medios especializados señalan que estos errores suelen recibir la calificación más alta de gravedad debido a la facilidad con que pueden ser explotados.
Para Wiggins, este es el segundo descubrimiento público de credenciales ocultas en aplicaciones en dos semanas, luego de una vulnerabilidad similar en la app de la cadena de restaurantes Applebee’s, que también expuso información de clientes. En ambas ocasiones utilizó herramientas de inteligencia artificial, capaces de examinar miles de líneas de código descompilado por segundo.
Wyndham no confirmó si implementará un programa para que investigadores externos reporten vulnerabilidades de forma confidencial. Michael Francess, director de ciberseguridad de la compañía, señaló a la prensa que los especialistas pueden enviar un correo electrónico a la dirección del hotel.
Este no es el primer incidente de seguridad que enfrenta la cadena. En 2024, un investigador descubrió que varias recepciones de Wyndham tenían instalado el programa espía pcTattletale, el cual filtraba capturas de pantalla con datos de huéspedes y reservas. Tras la divulgación de ese caso, la empresa desarrolladora del software fue hackeada, su propietario Bryan Fleming cerró el negocio y posteriormente fue arrestado y condenado por crear y comercializar spyware ilegal.
Los peligros que enfrenta una cadena hotelera tras una filtración de datos
- Phishing: Los atacantes podrían usar nombres, correos electrónicos y números de membresía para enviar mensajes fraudulentos que imiten comunicaciones oficiales del hotel, con el objetivo de obtener contraseñas o datos bancarios.
- Acceso no autorizado: Si los tokens de sesión continúan activos, una persona no autorizada podría ingresar a las cuentas sin necesidad de la contraseña, exponiendo reservas, información de contacto y beneficios del programa de fidelidad.
Fuente: Infobae