Senha escondida no código, banco de dados aberto
A Wyndham Hotels & Resorts, uma das maiores redes de hotéis e resorts do mundo com aproximadamente 8400 unidades e 25 marcas — incluindo Days Inn, La Quinta e Ramada — teve seus dados expostos de forma tão simples quanto devastadora: uma senha escrita diretamente no código-fonte do aplicativo Android da empresa. O pesquisador Robert Wiggins, do What Security, encontrou a credencial codificada durante uma análise de rotina e descobriu que ela dava acesso direto a um banco de dados interno hospedado pela Salesforce, a própria plataforma de CRM da Wyndham.
O banco de dados continha nomes de clientes, endereços de e-mail, números de membros do programa de fidelidade Wyndham Rewards (que possui cerca de 129 milhões de cadastrados) e, o mais preocupante: tokens de login chamados JWT (JSON Web Tokens) que mantêm os usuários automaticamente conectados ao aplicativo sem a necessidade de reenviar suas senhas. O banco também armazenava arquivos e documentos internos da empresa.
O silêncio da empresa
O mais inquietante sobre o caso não é a falha em si — senhas hardcoded são um erro que qualquer estudante de segurança da informação conhece — mas a ausência completa de resposta da Wyndham. Quando o TechCrunch entrou em contato com a equipe de cibersegurança da empresa, a credencial foi revogada e o acesso bloqueado. Um porta-voz afirmou que a equipe "tomou as providências para resolver o problema" e que "não há evidências de acesso não autorizado". Mas a empresa se recusou a informar: há quanto tempo a senha estava no aplicativo; se possui logs de servidor para investigar acessos passados; se planeja notificar os clientes cujos dados foram expostos; se vai reportar o incidente à SEC (Security and Exchange Commission), como empresas públicas são obrigadas a fazer para incidentes de cibersegurança de grande porte; ou se vai estabelecer um programa de divulgação de vulnerabilidades para que pesquisadores possam reportar problemas de segurança de forma privada.
Michael Francess, diretor de cibersegurança da Wyndham que respondeu à investigação do TechCrunch, mencionou que pesquisadores podem enviar detalhes de problemas de segurança para security@wyndham.com. Mas a empresa não informou se pretende tornar esse canal público em seu site, o que seria um primeiro passo mínimo para um programa de bug bounty ou disclosure.
O papel da IA na descoberta
Um detalhe que merece atenção é que Wiggins utilizou ferramentas de IA para identificar as credenciais hardcoded, escaneando milhares de linhas de código descompilado do aplicativo Android em busca de padrões de senha. Isso não é a primeira vez que ele faz esse tipo de descoberta: em outubro, ele encontrou uma vulnerabilidade quase idêntica no aplicativo do Applebee's, também com uma senha hardcoded no código-fonte que expunha dados de clientes.
O uso de IA para escanear código descompilado é uma técnica cada vez mais acessível. Ferramentas automatizadas podem processar milhões de linhas de código em busca de padrões conhecidos de credenciais — strings que se assemelham a senhas, variáveis com nomes óbvios como "sfPassword", tokens JWT em texto claro — muito mais rápido do que qualquer auditor manual. Isso significa que vulnerabilidades que antes poderiam ficar anos escondidas em código-fonte de aplicativos populares agora são descobertas e relatadas em questão de dias ou semanas.
O contexto: Wyndham nunca foi forte em segurança
Este não é o primeiro incidente de segurança da Wyndham. Em 2024, pesquisadores descobriram que várias estações de check-in de hotéis da rede rodavam o pcTattletale, um software espionagem de acesso remoto que vazava capturas de tela de registros de hóspedes e informações de reserva diretamente para a web aberta. A empresa responsável pelo pcTattletale, uma organização liderada por Bryan Fleming, foi posteriormente hackeada e seus bancos de dados com informações de clientes roubados — o que levou ao fechamento da empresa e à condenação criminal de Fleming.
Antes disso, a Wyndham já enfrentou múltiplos vazamentos de dados entre 2008 e 2009 que resultaram em ações regulatórias da FTC (Federal Trade Commission). A rede também investiu significativamente em modernização tecnológica nos últimos anos, incluindo parcerias com a Okta para gerenciamento de identidade e o lançamento de aplicativos nativos de IA.
O que observar
A combinação de credenciais hardcoded com tokens JWT é particularmente preocupante, pois não basta ter acesso aos dados estáticos — quem tiver a senha também pode se passar por usuários já conectados ao sistema. E a falta de transparência da Wyndham sobre sua capacidade de investigar acessos passados deixa uma brecha enorme: é possível que, mesmo após a revogação da credencial, dados tenham sido copiados por terceiros mal-intencionados sem que a empresa saiba.
A pergunta que fica é se a Wyndham vai finalmente implementar um programa de divulgação de vulnerabilidades ou se continuará dependendo de pesquisadores externos e repórteres de tecnologia para descobrir e alertar sobre falhas em seus sistemas — um modelo insustentável para uma empresa que lida com dados de centenas de milhões de hóspedes.
Fontes: TechCrunch, ABAB News, Atlabyte
✓ Fontes independentes cruzadas e verificadas antes da publicação
