La cadena de hoteles Wyndham expuso datos de clientes al dejar una contraseña dentro de su aplicación para Android

La cadena de hoteles Wyndham reconoció un incidente de ciberseguridad después de que un investigador descubriera una contraseña dentro del código de su aplicación para Android. La clave daba acceso a una base de datos interna con nombres, correos y números de miembro de clientes, según TechCrunch.

El investigador Robert Wiggins, de la firma What Security, dijo a TechCrunch que la contraseña abría una base de datos de la empresa alojada en Salesforce, una plataforma de gestión de clientes. Cualquier persona con una copia de la app podía extraerla.

Además de los datos personales, la base guardaba los tokens de inicio de sesión de los clientes. Son códigos que mantienen abierta la sesión en la app sin pedir la contraseña cada vez. También contenía archivos y documentos de Wyndham.

Wiggins calculó que había millones de registros, pero no pudo determinar cuántos pertenecían a clientes. Wyndham afirma tener unos 129 millones de miembros inscritos en su programa de recompensas.

La empresa anuló la clave, pero dejó dudas sin responder

Según Wiggins, Wyndham no ofrece un canal para reportar fallas de seguridad, así que pidió ayuda a TechCrunch para avisar a la compañía. Poco después de que el medio contactara al grupo de ciberseguridad, la credencial fue revocada y el acceso se cerró.

Un portavoz de Wyndham dijo que su equipo tomó medidas para resolver el problema y que sus expertos de seguridad no tienen evidencia de accesos no autorizados. No dio detalles que respalden esa afirmación.

La empresa tampoco quiso decir si cuenta con registros del servidor que permitan saber si alguien entró a la base antes del hallazgo. Wiggins señaló que, sin esa visibilidad, un atacante pudo haber filtrado grandes cantidades de datos de clientes.

El portavoz no precisó cuánto tiempo estuvo la contraseña dentro de la app ni cómo se corregirá de forma definitiva. Tampoco respondió si avisará a los clientes expuestos ni si informará a reguladores como la Comisión de Bolsa y Valores de Estados Unidos (SEC), que exige a las empresas que cotizan en bolsa divulgar incidentes de ciberseguridad relevantes.

Un error simple que la IA ayuda a encontrar

Incluir contraseñas dentro de una aplicación, práctica conocida como hardcoding, es algo que los desarrolladores suelen evitar. TechCrunch explicó que muchos casos de este tipo reciben la máxima calificación de gravedad por lo sencillo que resulta abusar de ellos.

Para Wiggins es el segundo hallazgo público de credenciales incrustadas en dos semanas, tras una falla casi idéntica en la app de la cadena de restaurantes Applebee’s que expuso datos de clientes. En ambos casos usó herramientas de IA, que revisan miles de líneas de código descompilado por segundo.

Wyndham no dijo si creará un programa para que investigadores externos informen fallas en privado. Michael Francess, director de ciberseguridad de la empresa, indicó a medios que los investigadores pueden escribir al correo del hotel.

No es el primer problema de seguridad de la cadena. En 2024, un investigador halló que varias recepciones de hoteles Wyndham tenían instalado un programa espía, pcTattletale, que filtraba capturas de pantalla con datos de huéspedes y reservas. Tras esa publicación, la empresa del programa fue hackeada y su dueño, Bryan Fleming, cerró el negocio; luego fue arrestado y condenado por fabricar y vender spyware ilegal.

Qué riesgos enfrenta una cadena de hoteles tras una filtración de datos

Los atacantes podrían usar nombres, correos y números de membresía para enviar mensajes fraudulentos que imiten comunicaciones del hotel y busquen obtener contraseñas o datos bancarios.

Si los tokens de sesión siguen activos, una persona no autorizada podría acceder a cuentas sin conocer la clave. Eso expone reservas, información de contacto y posibles beneficios del programa de fidelidad.