酒店与度假村巨头温德姆承认发生一起网络安全事件。此前，一名出于善意的安全研究人员发现了一个漏洞，使任何人都可能访问客户的个人信息。

What Security 的安全研究员 Robert Wiggins 独家向 TechCrunch 表示，他在温德姆安卓应用的源代码中发现了一个密码，该密码可访问公司内部数据库。该数据库由科技公司 Salesforce 托管。

Wiggins 对 TechCrunch 表示，这一凭证暴露了包括客户姓名、电子邮件地址和温德姆会员编号在内的个人信息。该数据库还存储客户登录令牌（称为 JWT），使客户在应用中保持登录状态，而无需反复输入密码。数据库中还包含温德姆的文件和文档。

据 Wiggins 称，该数据库有数百万条记录，但他无法确定被暴露客户记录的准确数量。温德姆宣称其奖励计划注册会员约有 1.29 亿人。

这名研究人员表示，温德姆没有提供报告安全漏洞的渠道，因此请求 TechCrunch 协助通知该公司。TechCrunch 与温德姆网络安全团队取得联系后不久，暴露的凭证即被撤销，从而阻止了对数据库的进一步访问。

“我们的团队已经采取措施解决这一问题，”温德姆一位发言人对 TechCrunch 表示。“我们的安全团队没有发现任何未经授权访问的证据，”该声明补充称，但未进一步说明这一说法的细节。

当被问及公司是否具备技术手段（例如服务器日志）来判断在 Wiggins 发现问题之前是否有人访问过客户数据库时，温德姆发言人未予回应。

TechCrunch 还询问温德姆是否计划通知信息被暴露的客户，或向美国监管机构披露此事，例如向美国证券交易委员会提交通知；对于重大网络安全事件，上市公司通常需要这样做。温德姆未予置评。

温德姆发言人也未说明，该密码在其客户应用中被嵌入了多久，或公司计划如何为该应用推出长期修复方案。

应用和软件开发者通常会避免在公开发布的软件和应用中包含密码或凭证——这一做法被称为“硬编码”——因为任何拿到软件副本的人都可以提取密码，并利用它访问相应的服务器或数据库。鉴于任何人都可能轻易滥用这类凭证，许多硬编码凭证案例都会被自动评为最高级别的漏洞严重性。

对 Wiggins 来说，这是他两周内第二次公开发现硬编码凭证问题。此前，他在 Applebee’s 的应用中发现了一个几乎相同的漏洞，导致客户数据暴露。Wiggins 在这两次发现中都借助了 AI 工具；这些工具能够每秒扫描数千行反编译后的应用代码，从而更容易识别硬编码凭证等简单安全弱点。

在被问及对温德姆回应的看法时，Wiggins 对 TechCrunch 表示，他很高兴公司修复了这一问题，但也指出，在无法了解过去活动的情况下，怀有恶意的人本可能泄露大量客户个人信息。

该公司也未说明，是否计划建立漏洞披露计划，以便外部安全研究人员和黑客私下报告安全漏洞。

回应此次事件的温德姆网络安全总监 Michael Francess 对 TechCrunch 表示，研究人员可以通过 [email protected] 提交潜在安全问题的细节。该公司发言人未说明，是否计划修改网站，以便研究人员能够向公司发出提醒。

这是温德姆近年来最新一起已知安全事件。2024 年，一名安全研究人员发现，温德姆旗下数家酒店的入住登记台电脑运行着远程访问间谍软件，该软件将住客记录和预订信息的截图泄露到开放网络上。

在 TechCrunch 报道后不久，这款在酒店电脑上发现的间谍软件应用 pcTattletale 遭到黑客攻击，其存储的大量客户数据被窃取，迫使其所有者 Bryan Fleming 关闭公司。Fleming 曾居住在密歇根州，后来被联邦当局逮捕，并因制作、销售和宣传非法间谍软件而被定罪。