Una contraseña escrita en texto claro dentro de la app Android de Wyndham dejó al descubierto una base de datos con información de clientes, y el hallazgo pone a prueba algo más antiguo que cualquier software: la costumbre de confiar en que lo oculto está a salvo porque nadie lo mira. Fue un investigador independiente quien la encontró y la hizo pública, mientras la cadena, que cuenta con unos 129 millones de socios, sostiene que no ve señales de accesos indebidos. Lo que aún no se sabe es si alguien llegó antes a esos registros, y esa incógnita define el alcance real del episodio.
Wyndham expuso datos de clientes por una contraseña escrita en su app Android
Datos personales de clientes, potencialmente de millones de socios del programa de fidelidad, quedaron expuestos sin que se pueda determinar cuántos fueron consultados.
Una contraseña escrita en el código abrió la base de datos de Wyndham
Mark
Empecemos por lo básico: ¿qué tan grave es una contraseña dentro de una app?
Mimi
Mucho, por lo simple. Quien descargue la app puede descompilarla y leer la clave. No hace falta un ataque sofisticado.
Mark
¿Y qué había en la base?
Mimi
Nombres, correos, números de socio, tokens de sesión y documentos internos. Wiggins habla de millones de registros.
Luke
Ojo con la cifra: es estimación de Wiggins, y él mismo dice que no pudo determinar cuántos clientes quedaron expuestos. Los 129 millones son los socios totales que declara la cadena, no los afectados.
Mark
Wyndham dice que no hay evidencia de acceso no autorizado.
Mimi
Es lo delicado. Esa frase solo sostiene algo si existen registros que permitan comprobarlo.
Luke
Y la empresa no respondió si tiene esos registros. Así que hoy no sabemos si hubo acceso previo; solo sabemos que no hay evidencia declarada.
Mark
¿Por qué acudió el investigador a la prensa?
Mimi
Porque Wyndham no tenía canal para reportes. Tras el contacto de TechCrunch, la credencial se revocó.
Luke
Tampoco sabemos cuánto tiempo estuvo la contraseña en la app, ni si habrá notificación a clientes o a la SEC. Eso sigue abierto.
Il Polso
- Una contraseña copiada en el código de la app Android abría una base de datos interna alojada en Salesforce, al alcance de cualquiera que descompilara el paquete.
- Entre los datos expuestos había nombres, correos, números de socio y tokens de sesión que permiten mantener cuentas abiertas sin contraseña.
- El investigador tuvo que recurrir a un medio porque Wyndham no ofrecía un canal para reportar fallas de seguridad.
- La credencial fue revocada tras el contacto con TechCrunch, pero la empresa no respondió si revisará registros de acceso ni si avisará a clientes o a la SEC.
- La cadena sostiene que no hay evidencia de accesos no autorizados, aunque nadie puede afirmarlo mientras falten esos registros.
Una contraseña escrita en texto claro dentro de la app Android de Wyndham dejó al descubierto una base de datos con información de clientes, y el hallazgo pone a prueba algo más antiguo que cualquier software: la costumbre de confiar en que lo oculto está a salvo porque nadie lo mira. Fue un investigador independiente quien la encontró y la hizo pública, mientras la cadena, que cuenta con unos 129 millones de socios, sostiene que no ve señales de accesos indebidos. Lo que aún no se sabe es si alguien llegó antes a esos registros, y esa incógnita define el alcance real del episodio.
Una contraseña escrita en texto claro dentro del código de la aplicación Android de Wyndham bastó para abrir una base de datos interna de la cadena hotelera. La encontró Robert Wiggins, investigador de seguridad de What Security, que decidió contarlo primero a TechCrunch. La base, alojada en Salesforce, contenía nombres de clientes, correos, números de socio del programa de fidelidad y tokens de sesión, además de documentos internos. Wiggins habló de millones de registros, aunque no pudo precisar cuántos clientes quedaron expuestos. Wyndham declara unos 129 millones de socios.
Antes de corregirse, el fallo encontró un obstáculo: la empresa no tenía un canal para recibir reportes de seguridad, y Wiggins tuvo que pedir ayuda a la prensa. Tras el contacto de TechCrunch con el equipo de ciberseguridad, la credencial fue revocada. La respuesta pública fue breve: la compañía dijo haber tomado medidas y afirmó que no tiene evidencia de accesos no autorizados. Su director de ciberseguridad indicó que los investigadores pueden escribir por correo, sin confirmar que esa vía se publicará.
Quedaron sin respuesta preguntas clave: si existen registros de servidor, si se notificará a los clientes, si se informará a la SEC y cuánto tiempo estuvo expuesta la contraseña. Incluir credenciales en software distribuido públicamente es una falla básica que cualquiera puede explotar con herramientas comunes, y por eso suele tener la severidad máxima. Este es el segundo hallazgo de Wiggins de este tipo en dos semanas, tras un caso casi idéntico en Applebee's. La cadena también tiene antecedentes: en 2024 sus mostradores de check-in ejecutaban spyware que filtraba datos de huéspedes.
Lo que sigue por verse es si Wyndham aclara quién accedió a la base antes de que se cerrara, y si da el paso de avisar a sus clientes y a los reguladores.
Una contraseña escrita en texto claro dentro del código de la aplicación Android de Wyndham bastó para abrir una base de datos interna de la cadena hotelera. Quien la encontró fue Robert Wiggins, investigador de seguridad de la firma What Security, que le contó el hallazgo en exclusiva a TechCrunch. La base estaba alojada en Salesforce y la credencial daba acceso directo a ella.
Lo que había dentro era información personal: nombres de clientes, direcciones de correo electrónico y el número de socio del programa de fidelidad. También guardaba tokens de sesión, los llamados JWT, que permiten a un usuario mantener la sesión abierta sin reescribir su contraseña, además de archivos y documentos internos de la empresa. Según Wiggins, había millones de registros, aunque no pudo precisar cuántos clientes quedaron expuestos. Como referencia de escala, Wyndham declara unos 129 millones de socios inscritos en su programa de recompensas.
Hubo un obstáculo antes de que el fallo se corrigiera: Wyndham no tenía un canal para recibir reportes de seguridad. Wiggins tuvo que pedir ayuda a un medio para que alertara a la compañía. Poco después de que TechCrunch contactara al equipo de ciberseguridad, la credencial fue revocada y el acceso a la base quedó cerrado.
Incluir credenciales dentro de un software que se distribuye públicamente se conoce como hardcoding. Cualquiera con una copia de la app puede extraer la contraseña y usarla, sin necesidad de un exploit sofisticado ni de un zero-day: basta con descompilar el paquete y leer. Por esa simpleza, muchos sistemas de puntuación de vulnerabilidades asignan a estos casos la severidad máxima. El informe Data Breach Investigations Report de Verizon de 2022, citado por TechTarget, encontró que el uso de credenciales robadas estuvo presente en casi el 50% de los ataques analizados y en más del 80% de las brechas clasificadas como ataques básicos a aplicaciones web. El mismo informe atribuyó a malas configuraciones cerca del 40% de las brechas de 2021.
La respuesta pública de Wyndham fue breve. Un portavoz afirmó que el equipo ha tomado medidas para abordar el problema y que sus equipos de seguridad no tienen evidencia de ningún acceso no autorizado. Michael Francess, director de ciberseguridad de la compañía, dijo a TechCrunch que los investigadores pueden reportar posibles problemas por correo electrónico, pero la empresa no confirmó si publicará esa vía en su sitio web.
Quedaron sin respuesta varias preguntas de TechCrunch: si la compañía cuenta con registros de servidor para saber si alguien entró antes del hallazgo, si notificará a los clientes afectados, si informará a reguladores como la SEC, cuánto tiempo estuvo la contraseña en la app, cómo piensa dar una solución definitiva y si creará un programa de divulgación de vulnerabilidades. Wiggins advirtió que, sin visibilidad sobre la actividad pasada, alguien con intención maliciosa podría haber extraído grandes volúmenes de datos personales.
El caso es el segundo hallazgo público de credenciales embebidas de Wiggins en dos semanas, tras una vulnerabilidad casi idéntica en la app de Applebee's. En ambos usó herramientas de IA, que permiten revisar código descompilado en segundos. Wyndham tiene además antecedentes: en 2024 un investigador halló que mostradores de check-in de varios hoteles de la cadena ejecutaban el spyware pcTattletale, que filtraba a la web abierta capturas de pantalla con registros de huéspedes y datos de reservas. Poco después la aplicación fue hackeada, su dueño, Bryan Fleming, cerró la empresa y luego fue detenido por autoridades federales y condenado por crear, vender y publicitar spyware ilegal.
Queda por ver si Wyndham aclara si alguien accedió a la base antes de que se cerrara, y si notifica a clientes y reguladores.
Citazioni salienti
Nuestros equipos de seguridad no tienen evidencia de ningún acceso no autorizado.— Portavoz de Wyndham, a TechCrunch
Vuoi la storia completa?
Leggi l'originale su El Ecosistema Startup ↗