Wyndham Veri Sızıntısı: Android Uygulamasındaki Şifre Müşteri Bilgilerini Açığa Çıkardı

Wyndham veri sızıntısı, otel ve tatil köyü devi Wyndham'ın Android uygulamasında unutulan bir şifre nedeniyle ortaya çıktı. TechCrunch'ın 9 Kasım 2026'da özel olarak aktardığına göre What Security'den güvenlik araştırmacısı Robert Wiggins, uygulamanın kaynak kodu içinde şirketin Salesforce'ta barındırılan iç veritabanına erişim sağlayan bir şifre buldu. Wyndham, olayı kabul ederek gerekli adımları attığını açıkladı.

Wyndham veri sızıntısında hangi bilgiler açıktaydı?

Wiggins'e göre bu şifre; müşterilerin adları, e-posta adresleri ve Wyndham üye numaraları gibi kişisel bilgileri açığa çıkarıyordu. Veritabanında ayrıca müşterilerin uygulamada sürekli şifre girmeden oturumlarının açık kalmasını sağlayan oturum token'ları (JWT) ile Wyndham'a ait dosya ve belgeler de bulunuyordu.

Araştırmacı, veritabanında milyonlarca kayıt olduğunu ancak açığa çıkan müşteri kaydı sayısını kesin olarak belirleyemediğini söyledi. Wyndham'ın sadakat programında yaklaşık 129 milyon kayıtlı üye bulunuyor.

Wyndham ne yaptı, ne söylemedi?

Wiggins, Wyndham'da güvenlik açıklarını bildirmek için bir kanal bulunmadığını belirterek şirkete ulaşmak için TechCrunch'tan yardım istedi. TechCrunch'ın şirketin siber güvenlik ekibiyle iletişime geçmesinin hemen ardından şifre iptal edildi ve veritabanına erişim kapandı.

Bir Wyndham sözcüsü "Ekibimiz sorunu gidermek için adımlar attı. Güvenlik ekiplerimiz yetkisiz erişime dair herhangi bir kanıt bulmadı" dedi. Ancak şirket, Wiggins'in keşfinden önce birinin veritabanına erişip erişmediğini belirlemesini sağlayacak sunucu kayıtları gibi teknik imkânlara sahip olup olmadığını açıklamadı. Wyndham ayrıca etkilenen müşterileri bilgilendirip bilgilendirmeyeceği, olayı ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) bildirip bildirmeyeceği, şifrenin uygulamada ne kadar süre kaldığı ve kalıcı düzeltmeyi nasıl yapacağı sorularını da yanıtsız bıraktı.

Şirketin siber güvenlik direktörü Michael Francess ise araştırmacıların olası güvenlik sorunlarını [email protected] adresine bildirebileceğini söyledi.

Uygulamaya şifre gömmek neden tehlikeli?

Yazılım geliştiriciler, yayımlanan uygulamalara şifre ya da erişim bilgisi gömmekten (hardcoding) genellikle kaçınıyor. Çünkü uygulamanın bir kopyasına sahip olan herkes bu şifreyi çıkarıp ilgili sunucuya ya da veritabanına erişebiliyor. TechCrunch'a göre bu kolaylık nedeniyle sabit kodlanmış erişim bilgisi içeren açıklar çoğu zaman en yüksek önem derecesiyle puanlanıyor.

Wiggins için bu, iki hafta içinde ortaya çıkardığı ikinci benzer açık. Araştırmacı daha önce Applebee's uygulamasında da müşteri verilerini açığa çıkaran neredeyse aynı bir hata bulmuştu. Wiggins her iki keşifte de, çözümlenmiş uygulama kodunun binlerce satırını saniyeler içinde tarayabilen yapay zekâ araçlarından yararlandı. Yapay zekâ destekli güvenlik araştırmalarının son örneklerinden birini OpenSSH güvenlik açığı haberimizde anlatmıştık.

Wyndham'ın geçmiş güvenlik sorunları

Bu olay, Wyndham'da son yıllarda bilinen ilk güvenlik sorunu değil. 2024'te bir güvenlik araştırmacısı, bazı Wyndham otellerinin resepsiyon bilgisayarlarında misafir kayıtları ve rezervasyon bilgilerinin ekran görüntülerini internete sızdıran pcTattletale adlı uzaktan erişim casus yazılımının çalıştığını tespit etmişti. Wiggins ise şirketin sorunu düzeltmesinden memnun olduğunu, ancak geçmiş erişimlere dair görünürlük olmadan kötü niyetli birinin büyük miktarda müşteri verisini sızdırmış olabileceğini vurguladı.