Contraseña escondida en el código, base de datos expuesta
Wyndham Hotels & Resorts, una de las cadenas de hoteles y resorts más grandes del mundo con aproximadamente 8.400 propiedades y 25 marcas — incluyendo Days Inn, La Quinta y Ramada — sufrió una exposición de datos tan simple como devastadora: una contraseña escrita directamente en el código fuente de la aplicación Android de la empresa. El investigador de seguridad Robert Wiggins, de What Security, encontró la credencial codificada durante un análisis de rutina y descubrió que otorgaba acceso directo a una base de datos interna alojada por Salesforce, la propia plataforma de CRM que Wyndham utiliza.
La base de datos contenía nombres de clientes, direcciones de correo electrónico, números de miembros del programa de fidelización Wyndham Rewards (que tiene alrededor de 129 millones de registrados) y, lo más preocupante: tokens de inicio de sesión JWT (JSON Web Token) que mantienen a los usuarios automáticamente conectados a la aplicación sin necesidad de volver a ingresar sus contraseñas. La base de datos también almacenaba archivos y documentos internos de la empresa.
El silencio de la empresa
Lo más inquietante de este caso no es la vulnerabilidad en sí misma — las contraseñas hardcoded son un problema conocido que cualquier estudiante de ciberseguridad reconocería — sino la casi total falta de respuesta de Wyndham. Cuando TechCrunch contactó al equipo de ciberseguridad de la empresa, la credencial fue revocada y el acceso bloqueado. Un portavoz declaró que el equipo "ha tomado medidas para abordar el problema" y que "no hay evidencia de acceso no autorizado". Pero la empresa se negó a responder: cuánto tiempo había estado la contraseña en la aplicación; si dispone de logs del servidor para investigar accesos pasados; si planea notificar a los clientes cuyos datos fueron expuestos; si informará el incidente a la SEC (Comisión de Valores y Bolsas de Estados Unidos), como las empresas públicas están obligadas a hacer para incidentes importantes de ciberseguridad; o si establecerá un programa de divulgación de vulnerabilidades para que los investigadores puedan reportar problemas de seguridad de forma privada.
Michael Francess, director de ciberseguridad de Wyndham que respondió a la investigación de TechCrunch, mencionó que los investigadores pueden enviar detalles de problemas de seguridad a security@wyndham.com. Pero la empresa no dijo si planea hacer ese canal público en su sitio web, lo cual sería un primer paso mínimo hacia un programa de bug bounty o divulgación.
El papel de la IA en el descubrimiento
Un detalle que merece atención es que Wiggins utilizó herramientas de IA para identificar las credenciales hardcoded, analizando miles de líneas de código descompilado de la aplicación Android en busca de patrones de contraseñas. Esta no es la primera vez que hace este tipo de descubrimiento: en octubre, encontró una vulnerabilidad casi idéntica en la aplicación de Applebee's, también con una contraseña hardcoded en el código fuente que exponía datos de clientes.
El uso de IA para analizar código descompilado es una técnica cada vez más accesible. Las herramientas automatizadas pueden procesar millones de líneas de código buscando patrones conocidos de credenciales — cadenas que parecen contraseñas, variables con nombres obvios como "sfPassword", tokens JWT en texto plano — mucho más rápido que cualquier auditor manual. Esto significa que vulnerabilidades que podrían haber permanecido ocultas durante años en el código fuente de aplicaciones populares ahora se descubren y reportan en cuestión de días o semanas.
Contexto: Wyndham nunca fue fuerte en seguridad
Este no es el primer incidente de seguridad de Wyndham. En 2024, investigadores descubrieron que varias estaciones de check-in de hoteles de la cadena ejecutaban pcTattletale, un software espía de acceso remoto que filtraba capturas de pantalla de registros de huéspedes e información de reservas directamente a la web abierta. La empresa detrás de pcTattletale, una operación liderada por Bryan Fleming, fue posteriormente hackeada y sus bases de datos con información de clientes robadas — lo que llevó al cierre de la empresa y la condena penal de Fleming.
Antes de eso, Wyndham había enfrentado múltiples filtraciones de datos entre 2008 y 2009 que resultaron en acciones regulatorias de la FTC (Federal Trade Commission). La cadena también ha invertido significativamente en modernización tecnológica en los últimos años, incluyendo colaboraciones con Okta para gestión de identidad y el lanzamiento de aplicaciones nativas de IA.
Qué observar
La combinación de credenciales hardcoded con tokens JWT es particularmente preocupante, pues no solo se exponen datos estáticos — quien tenga la contraseña también puede suplantar a usuarios ya conectados al sistema. Y la falta de transparencia de Wyndham sobre su capacidad para investigar accesos pasados deja un enorme punto ciego: es posible que, incluso después de la revocación de la credencial, datos hayan sido copiados por terceros malintencionados sin que la empresa lo sepa.
La pregunta es si Wyndham finalmente implementará un programa de divulgación de vulnerabilidades o continuará dependiendo de investigadores externos y periodistas de tecnología para descubrir y alertar sobre fallas de seguridad en sus sistemas — un modelo insostenible para una empresa que maneja datos de cientos de millones de huéspedes.
Fuentes: TechCrunch, ABAB News, Atlabyte
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
