Découverte de la faille
Le chercheur en sécurité Robert Wiggins, travaillant pour What Security, a signalé à TechCrunch la présence d’un mot de passe en clair dans le code source de l’application Android de Wyndham. Ce mot de passe, intégré directement dans le binaire, permettait d’établir une connexion à une base de données interne hébergée sur la plateforme Salesforce de l’entreprise. L’accès était possible sans aucune authentification supplémentaire, ce qui constitue une vulnérabilité de type hardcoding.
Mécanisme d’accès et données exposées
Grâce à ce credential, tout individu disposant du fichier APK pouvait extraire le mot de passe, se connecter à la base et interroger les tables contenant les informations personnelles des clients. Parmi les champs récupérables figuraient les noms, adresses e‑mail, numéros de membre du programme de fidélité (Wyndham Rewards) et les jetons JWT utilisés pour maintenir la session utilisateur active. Wiggins indique que la base compte plusieurs millions d’enregistrements, bien que le nombre exact reste inconnu ; Wyndham revendique toutefois 129 millions de membres inscrits.
Réaction de Wyndham et limites de la réponse
Après la mise en relation de TechCrunch avec l’équipe de cybersécurité de Wyndham, le mot de passe a été révoqué, interrompant tout accès supplémentaire. La société a déclaré ne disposer d’aucune preuve d’accès non autorisé, mais n’a pas confirmé la capacité de ses journaux serveur à retracer d’éventuelles exploitations antérieures. Aucun programme de divulgation de vulnérabilités n’est en place, et le responsable cybersécurité, Michael Francess, a simplement indiqué une adresse e‑mail générique ([email protected]) pour les signalements futurs. L’absence de processus formel limite la visibilité sur les incidents passés et complique la coordination avec les chercheurs.
Enjeux de la divulgation responsable
Cette affaire illustre les risques liés au hardcoding de secrets dans les applications mobiles. La découverte a été facilitée par des outils d’intelligence artificielle capables d’analyser rapidement des milliers de lignes de code décompilé, montrant ainsi comment l’automatisation peut accélérer la détection de failles simples mais critiques. Le cas s’ajoute à un précédent incident de 2024, où des logiciels espions installés sur les postes de check‑in des hôtels Wyndham ont diffusé des captures d’écran de dossiers clients, entraînant l’arrestation du propriétaire de l’entreprise. L’accumulation de ces événements souligne la nécessité pour les acteurs du secteur hôtelier d’adopter des pratiques de sécurité plus rigoureuses, notamment la suppression de secrets codés, la mise en place de programmes de bug bounty et la transparence vis‑à‑vis des régulateurs, comme la SEC, en cas d’incident matériel.
