温德姆酒店集团，数百万条客户数据或遭泄露

近日，全球酒店集团温德姆酒店集团（Wyndham）确认发生网络安全事件。一名安全研究人员发现，该集团安卓应用程序源代码中存在硬编码密码，利用这一漏洞，外部人员无需授权即可访问公司内部数据库，获取客户个人信息。

近期在另一起事件中，全球旅游科技服务商Amadeus也被爆出了旅客预订记录遭遇未授权访问的问题。10月28日，国泰航空收到Amadeus通知，称其系统中的部分旅客预订记录遭到未经授权访问，涉及约5.3万条预订记录。

据科技媒体TechCrunch报道，网络安全研究人员、What Security公司的Robert Wiggins在接受采访时透露，他在温德姆安卓应用程序的源代码中发现了一组密码凭证。这组凭证能够直接访问由科技公司Salesforce托管的温德姆内部数据库。

Wiggins表示，该数据库包含客户姓名、电子邮箱地址及温德姆会员编号等个人信息，同时还存储着用于维持用户登录状态的JWT令牌。借助这类令牌，用户无需每次登录应用程序时重新输入密码。此外，数据库中还包含温德姆的内部文件和文档。

据Wiggins估计，该数据库拥有数百万条记录，但由于无法进一步核实，他无法确定实际暴露的客户数据数量。温德姆此前公布的会员规模约为1.29亿人。

发现漏洞后，Wiggins表示，由于温德姆缺乏明确的安全漏洞报告渠道，他只能通过TechCrunch协助联系公司。随后，在TechCrunch与温德姆网络安全团队取得联系后，相关密码凭证被立即撤销，外部人员由此无法继续访问该数据库。

温德姆发言人回应称，公司团队已采取措施解决这一问题，安全团队目前没有发现任何未经授权访问数据库的证据。不过，对于是否具备通过服务器日志追溯漏洞被发现前访问记录的技术能力，公司并未作出回应。

此外，温德姆也未明确说明是否会通知受影响的客户，或向美国证券交易委员会（SEC）等监管机构报告此次事件。根据美国相关规定，上市公司须披露达到重大性标准的网络安全事件。

对于漏洞存在的具体时间、长期修复方案以及是否会建立正式的安全漏洞披露机制，温德姆同样没有给出明确答复。公司网络安全总监Michael Francess表示，安全研究人员可以通过security@wyndham.com提交潜在漏洞的相关信息，但公司是否会进一步完善官网上的漏洞报告渠道仍未确定。

此次事件暴露出的是软件开发中一种常见的安全隐患——硬编码密码（Hardcoding）。开发人员将密码或访问凭证直接写入公开发布的软件代码中，任何获得应用程序副本的人，都有可能通过反编译等方式提取这些信息，进而访问关联的服务器或数据库。因此，这类漏洞通常被视为高风险安全问题。

值得注意的是，这已是Wiggins两周内第二次发现类似漏洞。此前，他在苹果蜂餐厅（Applebee's）的应用程序中也发现了硬编码密码问题，导致客户数据面临暴露风险。两次漏洞发现均借助了人工智能工具，通过快速扫描数千行反编译后的应用程序代码，识别其中的密码凭证等安全隐患。

Wiggins表示，虽然温德姆已经修复了此次漏洞，但由于公司没有说明能否追溯此前的数据库访问记录，因此无法排除有人在漏洞被发现前恶意获取并泄露大量客户个人信息的可能性。

这也并非温德姆近年来首次出现网络安全问题。2024年，一名安全研究人员曾发现，温德姆旗下多家酒店的前台办理入住电脑安装了远程监控间谍软件pcTattletale，导致住客登记信息和预订记录的屏幕截图被泄露至公开网络。

相关事件曝光后，pcTattletale软件遭到黑客攻击，大量用户数据被窃取，最终迫使软件公司创始人Bryan Fleming关闭公司。此后，Fleming被美国联邦执法部门逮捕，并因制作、销售和推广非法间谍软件被判有罪。