Wyndham expuso datos y tokens de clientes por una contraseña en su app de Android

La cadena hotelera Wyndham reconoció un incidente de ciberseguridad tras descubrirse que una contraseña incrustada en el código de su aplicación para Android permitía acceder a una base de datos interna con información personal de clientes, incluidos nombres, correos electrónicos y números de membresía, así como tokens de inicio de sesión y documentos de la empresa¹.

El investigador Robert Wiggins, de What Security, detectó la vulnerabilidad y alertó a la empresa a través de TechCrunch, lo que llevó a Wyndham a revocar la credencial y cerrar el acceso a la base de datos¹.

Qué datos quedaron expuestos

La contraseña incrustada en la app de Android de Wyndham daba acceso a una base de datos alojada en Salesforce que contenía nombres, direcciones de correo electrónico y números de miembro de clientes¹. Además, la base almacenaba tokens de inicio de sesión, que permiten mantener abiertas las sesiones de usuario en la aplicación sin necesidad de ingresar la contraseña cada vez¹. También se encontraron archivos y documentos internos de la empresa¹.

El investigador estimó que había millones de registros en la base de datos, aunque no pudo determinar cuántos correspondían a clientes¹.

Cómo se descubrió la vulnerabilidad

Robert Wiggins utilizó herramientas de inteligencia artificial para analizar el código descompilado de la aplicación, lo que le permitió identificar la contraseña incrustada, práctica conocida como hardcoding y considerada de alta gravedad por la facilidad con la que puede ser explotada¹.

Wiggins señaló que es la segunda vez en dos semanas que detecta credenciales incrustadas en aplicaciones, tras un caso similar en la app de Applebee’s¹. En ambos hallazgos, la IA facilitó la revisión de miles de líneas de código en segundos¹.

Respuesta de Wyndham y dudas pendientes

Wyndham revocó la contraseña y cerró el acceso a la base de datos poco después de ser notificada, pero no ha detallado cuánto tiempo estuvo expuesta la credencial ni cómo corregirá el problema de forma definitiva¹.

Un portavoz de Wyndham afirmó que no tienen evidencia de accesos no autorizados, aunque no proporcionó detalles que respalden esta declaración ni precisó si existen registros del servidor que permitan verificarlo¹.

Antecedentes de seguridad en Wyndham

No es el primer incidente de seguridad que enfrenta la cadena. En 2024, se reportó la instalación de un programa espía en varias recepciones de hoteles Wyndham, lo que permitió la filtración de capturas de pantalla con datos de huéspedes y reservas¹.

Tras la publicación de ese caso, la empresa desarrolladora del software fue hackeada y su dueño, Bryan Fleming, fue arrestado y condenado por fabricar y vender spyware ilegal¹.

Nota de la Redacción: esta nota se basa en la información disponible al publicarla y se actualizará si otras fuentes aportan más datos.

Fuentes

Texto elaborado por la Redacción de Columna Digital a partir de estas fuentes:

1. Infobae ↩

Redacción Columna Digital. Es posible que en la preparación de esta nota se hayan usado herramientas de inteligencia artificial para reunir fuentes, procesar datos, corregir o redactar textos, bajo la supervisión del equipo de Redacción.