- WyndhamのAndroidアプリで、コード内に埋め込まれたハードコード認証情報により、顧客データとログイントークンが流出
- 研究者が数百万件のレコードにアクセス可能であることを確認。氏名、メールアドレス、会員ID、有効な認証トークンが含まれていた
- Wyndhamは開示後に問題を修正したものの、流出の範囲や過去にアクセスがあったかどうかは不明のまま
世界最大級のホテルチェーンであるWyndham Hotels & Resortsは、個人を特定できる情報（PII）に加え、モバイルアプリのログイントークンまでもが流出するという、恥ずべきサイバーセキュリティインシデントが発生したことを認めました。影響を受けた人は数百万人に上る可能性があります。
同社は、独立系の研究者がこのセキュリティ上の不手際についてTechCrunchに情報提供したことを受け、事実を認めました。
What Securityのセキュリティ研究者Robert Wiggins氏は、WyndhamのAndroidアプリを分析し、ハードコードされた認証情報一式を発見しました。ハードコード認証情報とは、アプリのコードに直接埋め込まれた認証情報のことで、多くは開発初期段階の名残です。ソフトウェア開発者はアプリの構築中、作業を速めるために管理者用の認証情報をコードに含めることがあります。機能やツールをテストするたびにログインする手間を省くためです。
こうした認証情報は通常、アプリのリリース直前に行う最終監査で削除されます。しかし、削除し忘れることがあり、そうなると、技術力の低いサイバー犯罪者でさえ簡単に侵入できる裏口を開けっ放しにすることになります。
顧客データとログイントークン
今回のケースでは、この認証情報によってWiggins氏は社内データベースにアクセスできました。データベースには、顧客の氏名、メールアドレス、Wyndham会員番号、そしてJWTが含まれていました。JWTは、ユーザーがアプリにログインしたままの状態を維持するための顧客ログイントークンです。
このトークンは、悪意ある攻撃者にとって非常に価値があります。トークンが失効や無効化されておらず、まだ有効であれば、認証情報を知らなくてもユーザーのアカウントにアクセスできてしまうためです。
個人を特定できる情報や、データベースに保存されていたWyndhamのファイルや文書は、きわめて巧妙で個々人に合わせたフィッシングの誘い文句の作成に悪用される恐れがあります。被害者をだましてマルウェアをインストールさせたり、不正な取引を行わせたり、勤務先の企業環境へのアクセスを攻撃者に許させたりする可能性があります。
Wiggins氏は同社に連絡を試みたものの、適切な窓口が見つからず、メディアに協力を求めたとされています。TechCrunchが接触すると、同社はセキュリティ上の不手際を認めたうえで、すでに問題は解決済みだと強調しました。
Wyndhamの広報担当者は同メディアに対し、「当社のチームは問題に対処するための措置を講じました。セキュリティチームは、不正アクセスがあったという証拠を確認していません」と述べています。
問題は解決したのかもしれませんが、多くの疑問が残されています。たとえば、何人分のデータがこの形で流出したのかは分かっていません。Wiggins氏は、データベースには「数百万件のエントリ」があると述べていますが、正確な数は特定できなかったとのことです。Wyndhamによると、同社のリワード会員の登録者数は1億2900万人です。
Wiggins氏による相次ぐ発見
データベースがどれほどの期間、この状態で公開されていたのかも不明です。ハードコード認証情報がアプリに埋め込まれたのはいつで、どのバージョンに残っていたのでしょうか。同社は不正アクセスの証拠はないとも述べましたが、詳細の説明は控えました。サーバーログを適切に監査しなければ、Wiggins氏が発見する前に、誰かが情報を閲覧したりダウンロードしたりしていないとは断言できません。
現時点では、Wyndhamが今回の漏えいを公表したり、データが流出した顧客に詳細を伝えたりしている様子はありません。通常、このようなインシデントは、データ保護当局や規制当局など、しかるべき機関に報告する必要があります。たとえば、米国証券取引委員会（SEC）、欧州証券市場監督局、各国のデータ保護当局が該当します。
Wiggins氏がハードコード認証情報を見つけたのは、ここ2週間ほどで2件目です。11月初旬には、米国のカジュアルダイニングチェーンApplebee’sが、AndroidモバイルアプリにハードコードされたAPI認証情報を残していたことが明らかになりました。これにより、顧客の氏名、メールアドレス（確認済みのものと未確認のものの両方）、生年月日、電話番号、郵便番号、退役軍人の資格の有無、ログイン回数、アカウント作成日、直近のログインセッションのIPアドレスが、場所を知っている者なら誰でも入手できる状態になっていました。
Wyndhamと同様に、データが流出した正確な人数は分かっていませんが、数百万人規模に上ると見て差し支えないでしょう。
