酒店与度假村集团Wyndham客户App硬编码凭证暴露数据，公司称无未授权访问证据
酒店与度假村集团Wyndham承认发生网络安全事件。安全研究员Robert Wiggins在Wyndham Android应用的源代码中发现硬编码密码，可访问由Salesforce托管的公司内部数据库，从而获取客户个人信息。
根据Wiggins向TechCrunch的描述，该凭证暴露的信息包括客户姓名、电子邮件地址和Wyndham会员编号。数据库还存储客户登录令牌（JWT，用于保持登录状态）以及Wyndham文件与文档。Wiggins表示数据库有数百万条目，但无法确定准确暴露的客户记录数量。Wyndham公开称其奖励计划有约1.29亿注册会员。
Wyndham发言人告诉TechCrunch：“我们团队已采取措施解决问题。我们的安全团队没有发现任何未授权访问的证据。”公司未说明是否具备服务器日志等技术手段来检查Wiggins发现前是否有人访问过该数据库，也未说明是否计划通知受影响客户或向美国证券交易委员会等监管机构披露。发言人亦未说明密码在应用中嵌入的时长，以及长期修复计划。
TechCrunch联系Wyndham后，暴露的凭证被撤销，阻止进一步访问。Wiggins表示，公司此前无报告安全漏洞的途径，他请TechCrunch协助通知。Wyndham网络安全总监Michael Francess称，研究员可通过特定邮箱报告潜在问题，但公司未说明是否计划在网站上公开此渠道。
这是Wyndham近期已知安全事件之一。2024年，曾有研究员在多家Wyndham酒店前台电脑发现远程访问间谍软件，泄露客人记录与预订信息截图。
硬编码凭证是严重漏洞类型，因为任何下载应用的人都能提取并使用该密码，如同授权用户登录远程系统。Wiggins在两周前刚发现Applebee’s应用中近乎相同的漏洞。
原始来源：
标题：Hotel giant Wyndham exposed customer data after app security lapse 发布者：Zack Whittaker / TechCrunch 发布日期：2026-11-09 URL：https://techcrunch.com/2026/11/09/hotel-giant-wyndham-exposed-customer-data-after-app-security-lapse/ 来源性质：媒体报道 核验情况：本次实际读取全文，核验日期2026-11-09；页面可公开访问。 支持内容：支持硬编码凭证发现、暴露数据类型（姓名、邮箱、会员编号、JWT等）、Wyndham回应（已修复、称无未授权访问证据）、未说明检查能力与通知计划、研究员身份及与Applebee’s案例关联等事实。
ABAB AI 解读
Robert Wiggins是英国What Security的研究员，连续两周公开发现硬编码凭证问题：先是Applebee’s Android应用（TechCrunch 10月30日报道，应用下载超百万，暴露奖励会员姓名、邮箱、出生日期、电话、邮编等，公司称无未授权访问证据），再是Wyndham。他使用AI工具扫描反编译代码，加速定位此类简单但高危漏洞。
Wyndham是全球最大酒店特许经营公司之一，拥有约8400家酒店、25个品牌（包括Days Inn、La Quinta、Ramada），奖励计划会员约1.29亿。公司近年大力投资技术，包括与Okta合作身份管理、推出Wyndham AI与ChatGPT原生应用以推动直接预订。此次事件涉及Salesforce托管的数据库，暴露的不仅是静态个人数据，还有JWT登录令牌，可能允许模拟已登录用户。
与Applebee’s案例高度相似：均是客户应用硬编码数据库凭证、TechCrunch验证后公司修复、公司称无未授权访问证据但拒绝说明是否有日志可查、未确认是否通知客户。Wyndham还有2024年前台电脑pcTattletale间谍软件事件（涉及客人姓名、预订详情与部分支付卡号），以及更早的2008-2009年多次数据泄露（FTC曾起诉）。
此次事件改变的是Wyndham客户数据保护的具体暴露面：应用分发本身成为凭证泄露渠道，而非仅服务器被攻破。由于凭证已公开可提取，且公司未确认历史检查能力，潜在未授权访问无法排除。观察指标是公司是否补设漏洞披露计划、是否向监管机构报备，以及JWT与会员数据是否被进一步滥用。
ABAB News · 认知定律
客户应用中的硬编码凭证等于把数据库钥匙发给每个下载者。
公司称“无未授权访问证据”但拒绝说明检查能力时，该声明无法独立核验。
连续在大型连锁应用中发现同类问题，显示基础凭证管理仍是可被AI快速定位的弱点。