酒店及度假村巨头温德姆已承认一起网络安全事件，此前一位善意的安全研究人员发现了一个漏洞，该漏洞允许任何人访问客户的个人信息。
安全公司What Security的研究员罗伯特·威金斯（Robert Wiggins）向TechCrunch独家透露，他在温德姆Android应用的源代码中发现了一个密码，该密码可以访问由科技公司Salesforce托管的公司内部数据库。
威金斯告诉TechCrunch，该凭证暴露了包括客户姓名、电子邮件地址和温德姆会员号等个人信息。该数据库还存储着客户登录令牌（称为JWT），这些令牌使客户在使用应用时保持登录状态，而无需反复输入密码。该数据库还包含温德姆的文件和文档。
威金斯表示，该数据库中有数百万条记录，但他无法确定被暴露客户记录的准确数量。温德姆宣称其拥有约1.29亿名注册奖励会员。
该研究员表示，温德姆没有提供报告安全漏洞的渠道，因此请求TechCrunch协助联系该公司。TechCrunch联系温德姆网络安全团队后不久，被暴露的凭证即被撤销，从而阻止了对数据库的进一步访问。
“我们的团队已采取措施解决该问题，”温德姆发言人告诉TechCrunch。声明还补充道：“我们的安全团队没有发现任何未经授权访问的证据”，但未提供有关该说法的更多细节。
当被问及该公司是否具备技术手段（例如服务器日志）来确定在威金斯发现该问题之前是否有人访问过客户数据库时，温德姆发言人拒绝回答。
TechCrunch还询问温德姆是否计划通知信息被暴露的客户，或向美国监管机构披露此事件，例如按照上市公司对重大网络安全事件的要求向美国证券交易委员会提交通知。温德姆对此未予回应。
温德姆发言人同样拒绝透露该密码在其客户应用中被嵌入了多长时间，以及公司计划如何为该应用提供长期修复方案。
应用和软件开发者通常会避免在公开发布的软件和应用中包含密码或凭证——这一做法被称为“硬编码”——因为任何获得软件副本的人都可以提取该密码，并用其访问相关的服务器或数据库。鉴于凭证被滥用的操作极为简单，许多硬编码凭证案例通常会被自动评定为最高级别的漏洞严重性。
对威金斯而言，这是他在两周内第二次公开发现硬编码凭证漏洞，此前他在苹迪比斯（Applebee's）的应用中发现了一个几乎相同的漏洞，同样暴露了客户数据。威金斯在这两次发现中都依赖了AI工具，这些工具通过每秒扫描数千行反编译后的应用代码，使识别诸如硬编码凭证这类简单安全弱点变得更加容易。
当被问及对温德姆回应的看法时，威金斯告诉TechCrunch，他很高兴该公司修复了这个问题，但他指出，由于无法查看过往的访问记录，若有恶意人员曾利用该漏洞，可能已经泄露了大量客户的个人信息。
该公司未透露是否计划建立漏洞披露机制，以便外部安全研究人员和黑客能够私下报告安全漏洞。
负责处理此事件的温德姆网络安全总监迈克尔·弗朗切斯（Michael Francess）告诉TechCrunch，研究人员可以通过电子邮件将潜在安全问题的详情发送给公司。该公司发言人未说明是否计划修改其网站，以便为研究人员提供报告渠道。
这是温德姆近年来已知的最新一起安全事件。2024年，一位安全研究人员发现多家温德姆酒店的前台使用的远程访问间谍软件，正在将客人记录和预订信息的截图泄露到公开网络上。
在TechCrunch报道此事后不久，该间谍软件应用（名为pcTattletale）本身遭到黑客攻击，其存储的大量客户数据被窃取，这迫使该公司所有者布莱恩·弗莱明（Bryan Fleming）关闭了公司。弗莱明曾居住在密歇根州，后被联邦当局逮捕，并因制造、销售和宣传非法间谍软件而被判有罪。
