Uma palavra-passe esquecida diretamente no código-fonte da aplicação Android da Wyndham Hotels & Resorts abriu as portas da base de dados interna da cadeia hoteleira norte-americana a qualquer pessoa. A vulnerabilidade já foi entretanto corrigida pela empresa, mas deixou acessível informação privada de milhões de registos, numa altura em que o grupo hoteleiro conta com quase 130 milhões de membros no seu programa de fidelização em todo o mundo.
A falha de segurança foi descoberta pelo investigador Robert Wiggins e divulgada pelo TechCrunch, meio ao qual o especialista teve de recorrer por não existir qualquer canal oficial na empresa para comunicar vulnerabilidades informáticas. Só depois de os jornalistas terem entrado em contacto com a cadeia hoteleira é que a credencial exposta foi finalmente revogada.
O que estava acessível na base de dados interna
A inclusão de credenciais diretamente no código de uma aplicação pública é um erro grave de programação, pois permite que terceiros analisem o ficheiro de instalação, extraiam a chave de acesso e entrem nos servidores sem restrições. Através dessa palavra-passe, era possível consultar tanto ficheiros e documentos internos da própria Wyndham como dados pessoais dos clientes, incluindo nomes, endereços de e-mail e números de membro do programa da marca.
O problema estendia-se também aos tokens de login, pequenos identificadores digitais que servem para manter a sessão dos utilizadores iniciada automaticamente na aplicação sem ser necessário introduzir a palavra-passe a cada utilização. Na posse destes tokens, um atacante consegue assumir o controlo de uma conta alheia de imediato, contornando o processo normal de autenticação. Embora Robert Wiggins não tenha conseguido apurar o número exato de clientes afetados, o investigador garantiu que a base de dados continha milhões de entradas.
Silêncio sobre notificações e histórico de falhas
Em declarações oficiais sobre o incidente, um porta-voz da Wyndham afirmou apenas que a equipa tomou medidas para resolver o problema e que os departamentos de segurança “não têm provas de qualquer acesso não autorizado”. Ainda assim, quando confrontada sobre os detalhes técnicos, a empresa recusou esclarecer se dispõe sequer de ferramentas capazes de verificar quem acedeu à base de dados antes do alerta do investigador. Como sublinhou o próprio Wiggins, apesar de a falha ter sido resolvida, a falta de visibilidade sobre a atividade passada impede de saber se alguém com intenções maliciosas já tinha recolhido grandes volumes de informação.
A gigante da hotelaria também optou por não responder se tenciona notificar os clientes afetados, se vai comunicar o incidente aos reguladores norte-americanos, há quanto tempo a palavra-passe estava presente na aplicação Android ou que solução definitiva pretende implementar. Este não é um caso isolado no historial recente da empresa, visto que, já em 2024, outro investigador de segurança tinha detetado um spyware de acesso remoto nos balcões de check-in da Wyndham que estava a expor na internet capturas de ecrã com registos de hóspedes e dados de reservas.
(TT)