L’application Android de Wyndham contenait un mot de passe qui ouvrait une base de données clients

L’entreprise hôtelière Wyndham a corrigé une faille de sécurité dans son application Android après qu’un chercheur en sécurité y a trouvé un mot de passe qui permettait à n’importe qui d’accéder à une base de données interne. TechCrunch a rapporté (en anglais) la découverte le 9 novembre.

Il s’agit d’une exposition : les données étaient accessibles à quiconque trouvait le mot de passe. Wyndham dit n’avoir aucune preuve d’abus, mais n’a pas dit si elle est en mesure de le savoir.

Ce qui était exposé

Le chercheur, Robert Wiggins de What Security, a dit à TechCrunch que le mot de passe se trouvait dans le code source de l’application Android de Wyndham et donnait accès à une base de données hébergée chez Salesforce. Selon lui, elle contenait :

• les noms et adresses courriel de clients
• des numéros de membre Wyndham Rewards
• des jetons de connexion de clients (les codes qui vous gardent connecté à l’application sans retaper votre mot de passe)
• des fichiers et documents internes de Wyndham

M. Wiggins a dit que la base comptait des millions d’entrées, sans pouvoir établir combien de clients s’y trouvaient. Wyndham Rewards compte environ 129 millions de membres, ce qui n’est donc pas le nombre de personnes touchées. Rien n’indique que des mots de passe, des cartes de paiement ou des historiques de séjour se trouvaient dans la base.

Ce que Wyndham a dit

M. Wiggins a dit que Wyndham n’offrait pas de moyen clair de signaler une faille et a demandé à TechCrunch d’alerter l’entreprise. Peu après que TechCrunch a contacté Wyndham, le mot de passe a été révoqué. « Notre équipe a pris des mesures pour régler le problème », a dit un porte-parole à TechCrunch, ajoutant : « Nos équipes de sécurité n’ont aucune preuve d’un accès non autorisé. »

Wyndham n’a pas voulu dire à TechCrunch si elle a des journaux pouvant montrer si quelqu’un est entré avant M. Wiggins, depuis combien de temps le mot de passe était dans l’application, si elle avisera les clients ou les autorités, ni comment elle corrigera l’application à long terme.

Pourquoi cela se répète

Mettre un mot de passe directement dans une application, ce qu’on appelle le codage en dur, permet à quiconque télécharge l’application de l’en extraire. C’est une erreur bien connue, et les outils d’IA la rendent plus rapide à trouver. M. Wiggins a dit à TechCrunch qu’il a utilisé des outils d’IA pour analyser le code décompilé, et que c’était sa deuxième trouvaille du genre en deux semaines après un problème presque identique dans l’application d’Applebee’s, que nous avons couvert dans L’application d’Applebee’s contenait un mot de passe qui ouvrait sa base de données clients.

Ce que vous pouvez faire

1. Déconnectez-vous de l’application Wyndham, puis reconnectez-vous. Des jetons de connexion faisaient partie des données exposées. Une nouvelle connexion vous donne un nouveau jeton. La désactivation des anciens dépend de Wyndham, qui n’a pas dit si elle les a réinitialisés.
2. Vérifiez vos points Wyndham Rewards et l’activité récente. Le vol de points est une cible courante quand des comptes de fidélité sont exposés. Contactez Wyndham si quelque chose cloche.
3. Utilisez un mot de passe unique pour Wyndham Rewards et activez toute protection de connexion supplémentaire offerte.
4. Méfiez-vous des courriels qui parlent de votre numéro de membre ou d’un « problème avec votre séjour ». Noms, courriels et numéros de membre rendent l’hameçonnage plus crédible. Ouvrez l’application ou tapez l’adresse du site vous-même.

Comment Frame peut aider

Si cette exposition est ajoutée à un catalogue de fuites, ajoutez-la à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé et vous donne une courte liste de vérification. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• L’application d’Applebee’s contenait un mot de passe qui ouvrait sa base de données clients : la même erreur, trouvée par le même chercheur deux semaines plus tôt.
• De faux messages citent de vraies réservations d’hôtel après une fuite chez RMS : comment des données de clients d’hôtels deviennent des arnaques crédibles.

Sources

• TechCrunch, Hotel giant Wyndham exposed customer data after app security lapse (en anglais), 9 novembre 2026