Telset.id – Wyndham mengakui adanya insiden keamanan siber setelah seorang peneliti keamanan menemukan password yang tertanam di dalam kode sumber aplikasi Android perusahaan tersebut. Password itu memberi akses ke database internal perusahaan yang di-hosting oleh Salesforce, dan mengekspos informasi pribadi pelanggan. Temuan ini menjadi peringatan serius bagi industri perhotelan yang menyimpan data dalam jumlah besar, terutama ketika kredensial sensitif justru tertinggal di perangkat lunak yang dirilis ke publik.
Peneliti keamanan Robert Wiggins dari What Security mengungkapkan temuan tersebut secara eksklusif kepada TechCrunch. Menurut Wiggins, kredensial yang terekspos itu membuka akses ke informasi seperti nama pelanggan, alamat email, dan nomor keanggotaan Wyndham. Database tersebut juga menyimpan login token pelanggan atau yang disebut JWT, yang berfungsi menjaga pelanggan tetap masuk ke aplikasi tanpa harus berulang kali memasukkan password mereka sendiri. Selain itu, database tersebut berisi berkas dan dokumen milik Wyndham.
Wiggins menyebut database itu memiliki jutaan entri, tetapi ia tidak dapat menentukan jumlah pasti catatan pelanggan yang terekspos. Wyndham sendiri mengklaim memiliki sekitar 129 juta anggota rewards yang terdaftar. Angka tersebut menunjukkan skala potensi data yang terlibat, meski perusahaan tidak merinci berapa banyak pelanggan yang benar-benar terdampak.
Kredensial Dicabut Usai Dihubungi TechCrunch
Wiggins mengungkapkan bahwa Wyndham tidak memiliki kanal resmi untuk melaporkan celah keamanan, sehingga ia meminta bantuan TechCrunch untuk memberi tahu perusahaan. Tak lama setelah TechCrunch menghubungi tim keamanan siber Wyndham, kredensial yang terekspos dicabut, sehingga mencegah akses lebih lanjut ke database. Langkah cepat itu menjadi respons awal perusahaan terhadap temuan peneliti independen.
“Tim kami telah mengambil langkah untuk mengatasi masalah ini,” kata juru bicara Wyndham kepada TechCrunch. “Tim keamanan kami tidak memiliki bukti adanya akses tidak sah,” tambah pernyataan itu, tanpa memberikan detail lebih lanjut soal klaim tersebut. Pernyataan ini menjadi satu-satunya respons resmi yang disampaikan Wyndham terkait insiden tersebut.
Juru bicara Wyndham menolak menjawab ketika ditanya apakah perusahaan memiliki sarana teknis, seperti server log, untuk menentukan apakah ada pihak yang mengakses database pelanggan sebelum temuan Wiggins. TechCrunch juga menanyakan apakah Wyndham berencana memberi tahu pelanggan yang informasinya terekspos, atau mengungkap insiden itu kepada regulator Amerika Serikat seperti melaporkan pemberitahuan ke U.S. Securities and Exchange Commission, sebagaimana kewajiban perusahaan publik untuk insiden keamanan siber yang material. Wyndham juga tidak bersedia menjawab.
Juru bicara Wyndham pun tidak bersedia menjelaskan berapa lama password itu tertanam di aplikasi pelanggan, atau bagaimana Wyndham berencana merilis perbaikan jangka panjang untuk aplikasi tersebut. Ketidakjelasan soal durasi paparan kredensial menjadi salah satu titik lemah dalam penanganan insiden ini, karena menentukan seberapa luas potensi risiko yang harus diantisipasi.
Baca Juga:
Praktik Hardcoding dan Risiko yang Menyertainya
Pengembang aplikasi dan perangkat lunak umumnya menghindari menyertakan password atau kredensial di dalam perangkat lunak dan aplikasi yang dirilis ke publik, sebuah proses yang dikenal sebagai hardcoding. Alasannya, siapa pun yang memiliki salinan perangkat lunak dapat mengekstrak password tersebut dan menggunakannya untuk mengakses server atau database terkait. Karena mudahnya kredensial disalahgunakan oleh siapa pun, banyak kasus kredensial yang di-hardcode otomatis mendapat penilaian tingkat keparahan kerentanan maksimum.
Bagi Wiggins, ini adalah temuan publik keduanya atas kredensial hardcoded dalam dua pekan, setelah ia menemukan kerentanan yang hampir identik di aplikasi Applebee’s yang mengekspos data pelanggan. Wiggins mengandalkan alat bantu AI untuk kedua temuan tersebut, yang mempermudah identifikasi kelemahan keamanan sederhana seperti kredensial hardcoded dengan memindai ribuan baris kode aplikasi yang didekompilasi setiap detik. Pola ini menunjukkan bahwa kelemahan mendasar semacam ini masih lazim ditemukan di aplikasi yang beredar luas.
Ketika ditanya soal respons Wyndham, Wiggins mengatakan ia senang perusahaan memperbaiki masalah tersebut, tetapi mencatat bahwa tanpa visibilitas atas aktivitas sebelumnya, seseorang dengan niat jahat bisa saja membocorkan data pribadi pelanggan dalam jumlah besar. Perusahaan juga tidak bersedia menyatakan apakah berencana menyiapkan program pengungkapan kerentanan agar peneliti keamanan dan hacker dapat melaporkan celah keamanan secara privat.
Michael Francess, direktur keamanan siber Wyndham yang menangani insiden tersebut, mengatakan kepada TechCrunch bahwa peneliti dapat memberi tahu alamat email tertentu dengan detail potensi masalah keamanan. Juru bicara perusahaan tidak bersedia menyatakan apakah Wyndham berencana mengubah situs webnya agar peneliti dapat memberi tahu perusahaan. Hal ini menjadi sorotan karena kanal pelaporan yang jelas menentukan seberapa cepat temuan independen bisa ditindaklanjuti.
Insiden ini bukan yang pertama bagi Wyndham dalam beberapa tahun terakhir. Pada 2024, seorang peneliti keamanan menemukan sejumlah meja check-in hotel Wyndham menjalankan spyware akses jarak jauh yang membocorkan tangkapan layar catatan tamu dan informasi pemesanan ke web terbuka. Tak lama setelah pemberitaan tersebut, aplikasi spyware yang ditemukan di komputer hotel, bernama pcTattletale, diretas dan bank data pelanggannya dicuri, memaksa pemiliknya, Bryan Fleming, menutup perusahaan. Fleming, mantan warga Michigan, kemudian ditangkap otoritas federal dan dihukum karena membuat, menjual, dan mengiklankan spyware ilegal.
Bagi pelanggan, kasus ini menegaskan pentingnya kewaspadaan terhadap data pribadi yang tersimpan di layanan digital, termasuk saat menginap dan menggunakan aplikasi loyalitas hotel. Sebagai pembanding kebutuhan digital lain, tersedia ekstensi pembanding harga yang memudahkan pengguna memeriksa tarif akomodasi secara lebih transparan. Sementara itu, tren pencarian berbasis AI juga makin akrab bagi wisatawan melalui AI Mode Google Search yang kini bisa melacak harga tiket dan pesan hotel.
Wyndham belum memberikan keterangan lebih lanjut mengenai langkah jangka panjang, termasuk kemungkinan pemberitahuan kepada pelanggan atau regulator. Yang jelas, pencabutan kredensial telah menghentikan akses ke database, tetapi pertanyaan soal durasi paparan dan ada tidaknya akses tidak sah sebelum temuan Wiggins masih belum terjawab oleh perusahaan.
Komentar
Belum ada komentar.