酒店與度假村集團Wyndham客戶App硬編碼憑證暴露數據，公司稱無未授權訪問證據
酒店與度假村集團Wyndham承認發生網絡安全事件。安全研究員Robert Wiggins在Wyndham Android應用的源代碼中發現硬編碼密碼，可訪問由Salesforce託管的公司內部數據庫，從而獲取客戶個人信息。
根據Wiggins向TechCrunch的描述，該憑證暴露的信息包括客戶姓名、電子郵件地址和Wyndham會員編號。數據庫還存儲客戶登錄令牌（JWT，用於保持登錄狀態）以及Wyndham文件與文檔。Wiggins表示數據庫有數百萬條目，但無法確定準確暴露的客戶記錄數量。Wyndham公開稱其獎勵計劃有約1.29億註冊會員。
Wyndham發言人告訴TechCrunch：“我們團隊已採取措施解決問題。我們的安全團隊沒有發現任何未授權訪問的證據。”公司未說明是否具備服務器日誌等技術手段來檢查Wiggins發現前是否有人訪問過該數據庫，也未說明是否計劃通知受影響客戶或向美國證券交易委員會等監管機構披露。發言人亦未說明密碼在應用中嵌入的時長，以及長期修復計劃。
TechCrunch聯繫Wyndham後，暴露的憑證被撤銷，阻止進一步訪問。Wiggins表示，公司此前無報告安全漏洞的途徑，他請TechCrunch協助通知。Wyndham網絡安全總監Michael Francess稱，研究員可通過特定郵箱報告潛在問題，但公司未說明是否計劃在網站上公開此渠道。
這是Wyndham近期已知安全事件之一。2024年，曾有研究員在多家Wyndham酒店前臺電腦發現遠程訪問間諜軟件，泄露客人記錄與預訂信息截圖。
硬編碼憑證是嚴重漏洞類型，因爲任何下載應用的人都能提取並使用該密碼，如同授權用戶登錄遠程系統。Wiggins在兩週前剛發現Applebee’s應用中近乎相同的漏洞。
原始來源：
標題：Hotel giant Wyndham exposed customer data after app security lapse 發佈者：Zack Whittaker / TechCrunch 發佈日期：2026-11-09 URL：https://techcrunch.com/2026/11/09/hotel-giant-wyndham-exposed-customer-data-after-app-security-lapse/ 來源性質：媒體報道 覈驗情況：本次實際讀取全文，覈驗日期2026-11-09；頁面可公開訪問。 支持內容：支持硬編碼憑證發現、暴露數據類型（姓名、郵箱、會員編號、JWT等）、Wyndham回應（已修復、稱無未授權訪問證據）、未說明檢查能力與通知計劃、研究員身份及與Applebee’s案例關聯等事實。
ABAB AI 解讀
Robert Wiggins是英國What Security的研究員，連續兩週公開發現硬編碼憑證問題：先是Applebee’s Android應用（TechCrunch 10月30日報道，應用下載超百萬，暴露獎勵會員姓名、郵箱、出生日期、電話、郵編等，公司稱無未授權訪問證據），再是Wyndham。他使用AI工具掃描反編譯代碼，加速定位此類簡單但高危漏洞。
Wyndham是全球最大酒店特許經營公司之一，擁有約8400家酒店、25個品牌（包括Days Inn、La Quinta、Ramada），獎勵計劃會員約1.29億。公司近年大力投資技術，包括與Okta合作身份管理、推出Wyndham AI與ChatGPT原生應用以推動直接預訂。此次事件涉及Salesforce託管的數據庫，暴露的不僅是靜態個人數據，還有JWT登錄令牌，可能允許模擬已登錄用戶。
與Applebee’s案例高度相似：均是客戶應用硬編碼數據庫憑證、TechCrunch驗證後公司修復、公司稱無未授權訪問證據但拒絕說明是否有日誌可查、未確認是否通知客戶。Wyndham還有2024年前臺電腦pcTattletale間諜軟件事件（涉及客人姓名、預訂詳情與部分支付卡號），以及更早的2008-2009年多次數據泄露（FTC曾起訴）。
此次事件改變的是Wyndham客戶數據保護的具體暴露面：應用分發本身成爲憑證泄露渠道，而非僅服務器被攻破。由於憑證已公開可提取，且公司未確認歷史檢查能力，潛在未授權訪問無法排除。觀察指標是公司是否補設漏洞披露計劃、是否向監管機構報備，以及JWT與會員數據是否被進一步濫用。
ABAB News · 認知定律
客戶應用中的硬編碼憑證等於把數據庫鑰匙發給每個下載者。
公司稱“無未授權訪問證據”但拒絕說明檢查能力時，該聲明無法獨立覈驗。
連續在大型連鎖應用中發現同類問題，顯示基礎憑證管理仍是可被AI快速定位的弱點。