飯店與度假村巨頭溫德姆承認發生一起網絡安全事件。此前，一名出於善意的安全研究人員發現了一個漏洞，使得任何人都有可能訪問客戶的個人信息。

What Security 的安全研究員 Robert Wiggins 向 TechCrunch 獅子專家透露，他在溫德姆安卓應用的源代碼中發現了一個密碼，該密碼可以訪問公司內部數據庫。該數據庫由科技公司 Salesforce 托管。

Wiggins 对於 TechCrunch 表示，此憑證暴露了包括客戶姓名、電子郵件地址和溫德姆會員編號在內的個人信息。該數據庫還存儲客戶登錄令牌（稱為 JWT），使客戶在應用中能保持登錄狀態，而無需反複輸入密碼。數據庫中還包含溫德姆的文件和文檔。

據 Wiggins 称，該數據庫有數百萬條記錄，但他無法確定被暴露的客戶記錄的準確數量。溫德姆宣稱其獎勵計劃的註冊會員約有1.29億人。

這名研究人員表示，溫德姆沒有提供報告安全漏洞的渠道，因此請求 TechCrunch 協助通知該公司。 TechCrunch 與溫德姆網絡安全團隊取得聯繫後不久，暴露的憑證即被撤銷，從而阻止了對數據庫的進一步訪問。

「我們的團隊已經採取措施解決這一問題，」溫德姆的一位發言人向 TechCrunch 表示。「我們的安全團隊沒有發現任何未經授權訪問的證據，」該聲明補充說，但未進一步說明這一說法的細節。

當被問及公司是否具備技術手段（例如伺服器日誌）來判斷在 Wiggins 發現問題之前是否有人訪問過客戶數據庫時，溫德姆發言人未予回應。

TechCrunch 還詢問溫德姆（Wyndham）是否計畫通知資訊被曝光的客戶，或向美國監管機構披露此事，例如向美國證券交易委員會（SEC）提交通知；對於重大網絡安全事件，上市公司通常需要這樣做。溫德姆未予評論。

溫德姆（Wyndham）的發言人也未說明，該密碼在其客戶應用中已嵌入了多長時間，或公司計劃如何為該應用推出長期修復方案。

應用程式和軟體開發者通常會避免在公開發布的軟體和應用程式中包含密碼或憑證——這種做法被稱為「硬編碼」——因為任何取得軟體副本的人都可以提取密碼，並利用它來訪問相應的伺服器或數據庫。鑒於任何人都可能輕易濫用這類憑證，許多硬編碼憑證的案例都會被自動評定為最高級別的漏洞嚴重性。

對於 Wiggins 来說，這是他兩週內第二次公開發現硬編碼憑證問題。此前，他在 Applebee 的應用程序中發現了一個幾乎相同的漏洞，導致客戶數據外洩。在這兩次發現中，Wiggins 都借助了 AI 工具；這些工具能夠每秒掃描數千行反編譯後的應用程序代碼，從而更容易識別硬編碼憑證等簡單的安全弱點。

在被問及對溫德姆回應的看法時，Wiggins對TechCrunch表示，他很高興公司修復了這一問題，但同时也指出，在無法了解過去活動的情況下，心懷惡意的人本可能泄露大量客戶個人信息。

該公司也沒有說明是否計畫建立漏洞披露計劃，以便外部安全研究人員和黑客能私下報告安全漏洞。

回應此事件的溫德姆網絡安全總監 Michael Francess 向 TechCrunch 表示，研究人員可以透過 [ email protected ] 提交潛在安全問題的詳細資訊。該公司發言人未說明是否計畫修改網站，以便研究人員能夠向公司發出提醒。

這是溫德姆近年來最新的一起已知安全事件。2024年，一名安全研究人員發現，溫德姆旗下數家酒店的入住登記臺電腦上運行著遠端訪問間諜軟件，該軟件將住客記錄和預訂信息的截圖泄露到開放網路上。

在 TechCrunch 的報導不久之後，這款在飯店電腦上發現的間諜軟件應用 pcTattletale 遭到黑客攻擊，其儲存的大量客戶數據被竊取，迫使其所有者 Bryan Fleming 關閉公司。 Fleming 曾居住在密歇根州，後來被聯邦當局逮捕，並因製作、銷售和宣傳非法間諜軟件而被定罪。