Wyndham conferma l'esposizione dei dati dei clienti dall'app Android

Wyndham ha confermato di aver esposto dati dei clienti dopo che un ricercatore ha trovato un difetto nella sicurezza della sua app Android [26]. Il problema erano credenziali inserite direttamente nel codice dell'applicazione: chi le estraeva poteva raggiungere i dati conservati all'interno [26].

L'accesso ottenuto dal ricercatore riguardava milioni di record, con nomi, indirizzi email, numeri di tessera associati al programma fedeltà e token di autenticazione attivi [26]. Questi ultimi sono i più delicati: un token valido può permettere di operare su un account senza conoscerne la password [26].

Secondo la ricostruzione, la società ha corretto la falla dopo la segnalazione [26]. Non è indicato nei titoli quanto tempo le credenziali siano rimaste nel codice né quante persone siano state effettivamente raggiunte: il conteggio di milioni di record riguarda i dati accessibili, non le vittime accertate [26].

Il caso rientra in una categoria ricorrente: chiavi e password lasciate nel pacchetto dell'app, dove chiunque scarichi il programma può cercarle. È lo stesso schema che rende utili i controlli sul codice distribuito, non solo sui server [26].

Il punto aperto è l'effetto sui token già emessi: la correzione dell'app non dice se i token esposti siano stati invalidati. La notizia non riporta il numero di clienti coinvolti né l'eventuale notifica agli interessati [26].