Wyndham lộ dữ liệu khách do mật khẩu gắn cứng trong app

Wyndham lộ dữ liệu khách do mật khẩu gắn cứng trong ứng dụng

Wyndham vừa xác nhận một sự cố an ninh mạng sau khi chuyên gia bảo mật phát hiện lỗ hổng cho phép bất kỳ ai truy cập thông tin cá nhân của khách hàng. Nguyên nhân là một mật khẩu bị gắn cứng trong ứng dụng Android của hãng.

Sự việc cho thấy một lỗi cơ bản nhưng nghiêm trọng vẫn xuất hiện ở những doanh nghiệp lớn, và câu hỏi về phạm vi ảnh hưởng thực tế vẫn chưa có lời đáp rõ ràng.

Lỗ hổng nằm ở đâu?

Robert Wiggins, chuyên gia bảo mật tại What Security, cho biết đã tìm thấy một mật khẩu nằm trong mã nguồn của ứng dụng Wyndham trên Android. Mật khẩu này mở quyền truy cập vào một cơ sở dữ liệu nội bộ của công ty, được lưu trữ trên nền tảng Salesforce.

Cơ sở dữ liệu bị lộ chứa thông tin cá nhân gồm tên khách hàng, địa chỉ email và số hiệu thành viên Wyndham. Nó cũng lưu các login token (mã thông báo đăng nhập, cụ thể là JWT) giúp khách hàng duy trì trạng thái đăng nhập trong ứng dụng mà không phải nhập lại mật khẩu. Ngoài ra, cơ sở dữ liệu còn có các tệp và tài liệu của Wyndham.

Theo Wiggins, cơ sở dữ liệu có hàng triệu bản ghi, nhưng ông không xác định được con số chính xác số hồ sơ khách hàng bị lộ. Wyndham công bố có khoảng 129 triệu thành viên chương trình khách hàng thân thiết.

Không có kênh báo cáo lỗ hổng

Wiggins cho biết Wyndham không có kênh để báo cáo lỗ hổng bảo mật, nên ông phải nhờ TechCrunch liên hệ với công ty. Ngay sau khi TechCrunch kết nối với đội ngũ an ninh mạng của Wyndham, thông tin đăng nhập bị lộ đã bị thu hồi, chặn mọi truy cập tiếp theo vào cơ sở dữ liệu.

"Đội ngũ của chúng tôi đã thực hiện các bước để khắc phục vấn đề", người phát ngôn của Wyndham nói với TechCrunch, đồng thời cho biết "đội ngũ bảo mật không có bằng chứng về bất kỳ truy cập trái phép nào".

Tuy nhiên, người phát ngôn không nêu chi tiết cho tuyên bố này. Khi được hỏi liệu công ty có phương tiện kỹ thuật như nhật ký máy chủ (server logs) để xác định ai đã truy cập cơ sở dữ liệu trước khi Wiggins phát hiện hay không, Wyndham từ chối trả lời.

Công ty cũng không cho biết có kế hoạch thông báo cho khách hàng bị lộ thông tin hay không, hay có định công bố sự cố với cơ quan quản lý Mỹ như Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) — nghĩa vụ mà các công ty đại chúng phải thực hiện với sự cố an ninh mạng nghiêm trọng. Wyndham cũng không tiết lộ mật khẩu đã tồn tại trong ứng dụng bao lâu, hay kế hoạch sửa lỗi lâu dài.

Vì sao "gắn cứng" lại nguy hiểm?

Lập trình viên ứng dụng thường tránh đưa mật khẩu hoặc thông tin đăng nhập vào phần mềm phát hành công khai — cách làm gọi là gắn cứng (hardcoding). Lý do là bất kỳ ai có bản sao phần mềm đều có thể trích xuất mật khẩu và dùng nó truy cập máy chủ hoặc cơ sở dữ liệu liên quan.

Vì việc lợi dụng thông tin đăng nhập gắn cứng quá đơn giản, nhiều trường hợp loại lỗ hổng này được tự động chấm mức độ nghiêm trọng tối đa.

Đây là lần thứ hai trong hai tuần Wiggins công bố phát hiện thông tin đăng nhập gắn cứng, sau khi tìm thấy lỗ hổng gần như tương tự trong ứng dụng của Applebee's làm lộ dữ liệu khách hàng. Ông dùng các công cụ AI cho cả hai lần phát hiện, giúp việc rà soát hàng nghìn dòng mã ứng dụng đã giải biên dịch (decompiled) mỗi giây trở nên dễ dàng hơn nhiều.

Wiggins cho biết ông mừng vì Wyndham đã khắc phục, nhưng lưu ý rằng nếu không có khả năng quan sát hoạt động trong quá khứ, kẻ có ý đồ xấu có thể đã rò rỉ lượng lớn thông tin cá nhân của khách hàng.

Công ty cũng không cho biết có định lập chương trình công bố lỗ hổng (vulnerability disclosure program) để các chuyên gia bảo mật bên ngoài báo cáo riêng hay không. Michael Francess, giám đốc an ninh mạng của Wyndham, cho biết nhà nghiên cứu có thể gửi chi tiết qua email cho công ty. Người phát ngôn không nói liệu Wyndham có sửa website để tạo kênh báo cáo hay không.

Đây là sự cố bảo mật mới nhất của Wyndham trong những năm gần đây. Năm 2024, một chuyên gia bảo mật phát hiện nhiều quầy check-in của khách sạn Wyndham chạy phần mềm gián điệp truy cập từ xa, làm rò rỉ ảnh chụp màn hình hồ sơ khách và thông tin đặt phòng lên web công khai. Phần mềm gián điệp tên pcTattletale sau đó bị hack, dữ liệu khách hàng bị đánh cắp, buộc chủ công ty Bryan Fleming phải đóng cửa. Fleming sau đó bị cơ quan liên bang bắt giữ và kết án vì sản xuất, bán và quảng cáo phần mềm gián điệp bất hợp pháp.

Góc nhìn

Với lập trình viên và đội ngũ phát triển ứng dụng, câu chuyện này là lời nhắc về một nguyên tắc cơ bản: không bao giờ đưa mật khẩu, khóa API hay bất kỳ thông tin đăng nhập nào vào mã nguồn ứng dụng phát hành công khai. Ứng dụng di động có thể bị giải biên dịch, và các công cụ AI hiện nay giúp việc dò tìm thông tin gắn cứng nhanh hơn rất nhiều.

Một điểm đáng chú ý khác là quy trình tiếp nhận báo cáo lỗ hổng. Khi doanh nghiệp không có kênh rõ ràng cho chuyên gia bảo mật, thời gian phơi nhiễm kéo dài và việc xử lý phụ thuộc vào may mắn. Việc xây dựng chương trình công bố lỗ hổng và ghi nhật ký truy cập đầy đủ không chỉ giúp khắc phục nhanh mà còn là cơ sở để đánh giá tác động thực tế khi sự cố xảy ra.