Telset.id – Wyndham Hotels & Resorts mengakui insiden keamanan siber yang mengekspos data pribadi pelanggan dan token login aplikasi mobile, setelah peneliti independen menemukan kredensial hardcoded di aplikasi Android milik jaringan hotel tersebut. Pengakuan ini menjadi sorotan karena menyangkut jutaan data pelanggan dari salah satu jaringan hotel terbesar di dunia.
Insiden ini terungkap setelah Robert Wiggins, peneliti keamanan dari What Security, menganalisis aplikasi Android Wyndham dan menemukan kredensial yang ditanam langsung di dalam kode aplikasi. Temuan tersebut kemudian dilaporkan ke media, dan Wyndham mengonfirmasi kebocoran data ini kepada TechCrunch.
Kredensial hardcoded adalah kredensial yang ditanam dalam kode aplikasi, biasanya merupakan sisa dari tahap pengembangan awal. Saat membangun aplikasi, pengembang kerap menyertakan kredensial admin ke dalam kode agar bisa bekerja lebih cepat tanpa harus login setiap kali menguji fitur atau alat tertentu.
Kredensial semacam ini umumnya dihapus pada audit akhir sebelum aplikasi dirilis. Namun, dalam sejumlah kasus, kredensial tersebut terlupakan dan meninggalkan akses pintu belakang yang bisa dimanfaatkan bahkan oleh pelaku kejahatan siber dengan kemampuan rendah.
Data Pelanggan dan Token Login yang Terpapar
Dalam kasus Wyndham, kredensial tersebut memberi Wiggins akses ke database internal perusahaan yang berisi nama pelanggan, alamat email, nomor keanggotaan Wyndham, serta JWT atau token login pelanggan yang memungkinkan pengguna tetap masuk ke aplikasi mereka.
Token tersebut sangat berharga bagi pelaku kejahatan karena memungkinkan mereka mengakses akun pengguna tanpa mengetahui kredensial, selama token masih aktif dan belum kedaluwarsa atau dicabut. Informasi pribadi serta file dan dokumen Wyndham yang tersimpan di database juga berpotensi digunakan untuk menyusun phishing yang sangat disesuaikan, guna menjebak korban agar memasang malware, melakukan transaksi curang, atau memberi akses ke lingkungan korporat tempat korban bekerja.
Wiggins sempat mencoba menghubungi pihak hotel, tetapi tidak menemukan kanal yang tepat, sehingga ia meminta bantuan media. Setelah TechCrunch menghubungi Wyndham, perusahaan mengonfirmasi kelalaian keamanan tersebut namun menegaskan bahwa masalahnya sudah diselesaikan.
“Tim kami telah mengambil langkah-langkah untuk mengatasi masalah ini,” kata juru bicara Wyndham kepada TechCrunch. “Tim keamanan kami tidak memiliki bukti adanya akses tidak sah.”
Meski demikian, sejumlah pertanyaan masih belum terjawab. Jumlah pasti orang yang datanya terpapar tidak diketahui. Wiggins menyebut database tersebut memiliki “jutaan entri”, tetapi ia tidak bisa menentukan angka yang lebih pasti. Wyndham sendiri mengklaim memiliki 129 juta anggota rewards terdaftar.
Hal lain yang belum jelas adalah berapa lama database tersebut terekspos. Kapan kredensial ditanamkan ke dalam aplikasi dan versi mana saja yang masih menyimpannya juga tidak diketahui. Wyndham menyatakan tidak ada bukti akses tidak sah, namun menolak menjelaskan lebih lanjut. Tanpa audit log server yang memadai, tidak dapat dipastikan apakah ada pihak yang melihat atau mengunduh informasi tersebut sebelum temuan Wiggins.
Sejauh ini, Wyndham tampaknya belum mengungkap kebocoran ini secara publik maupun membagikan detailnya kepada pelanggan yang datanya terpapar. Insiden semacam ini biasanya perlu dilaporkan kepada otoritas yang berwenang, termasuk pengawas data dan regulator seperti US Securities and Exchange Commission (SEC), European Securities and Markets Authority, atau otoritas perlindungan data nasional.
Baca Juga:
Kasus Kedua Wiggins dalam Dua Pekan
Ini merupakan kasus kedua kredensial hardcoded yang ditemukan Wiggins dalam kurun dua pekan. Pada awal November, terungkap bahwa jaringan restoran kasual Amerika Serikat, Applebee’s, menyimpan kredensial hardcoded di aplikasi Android mereka.
Melalui celah itu, data pelanggan Applebee’s terekspos, mencakup nama, alamat email (terverifikasi maupun tidak), tanggal lahir, nomor telepon, kode ZIP, status veteran, jumlah login, tanggal pembuatan akun, dan alamat IP dari sesi login terakhir. Semua informasi itu dapat diakses siapa saja yang tahu di mana harus mencari.
Sama seperti kasus Wyndham, jumlah pasti orang yang datanya terpapar akibat insiden Applebee’s tidak diketahui. Namun, jumlahnya dipastikan mencapai jutaan. Pola yang sama menunjukkan bahwa kredensial hardcoded masih menjadi celah keamanan yang berulang di aplikasi mobile perusahaan besar.
Bagi pengguna aplikasi hotel dan layanan serupa, temuan ini menjadi pengingat bahwa data pribadi dan token login di aplikasi mobile menyimpan risiko nyata. Informasi seperti nama, email, dan nomor keanggotaan bisa dirangkai menjadi serangan phishing yang menyasar korban secara personal, terutama bila pelaku berhasil memperoleh token login yang masih aktif.
Bagi industri perhotelan dan perusahaan yang mengandalkan aplikasi mobile, kasus Wyndham menegaskan pentingnya audit kode sebelum rilis. Kredensial yang tertinggal di aplikasi tidak hanya membuka akses ke database internal, tetapi juga berpotensi memapar data pelanggan dalam skala besar. Sampai ada audit log server yang transparan, skala sebenarnya dari paparan data Wyndham akan tetap menjadi tanda tanya.
[ META_DESCRIPTION ]
Wyndham mengakui kebocoran data pelanggan dan token login aplikasi Android usai peneliti temukan kredensial hardcoded di kode aplikasi.
Komentar
Belum ada komentar.