アプリのコードから社内DBへ到達できた
セキュリティ研究者Robert Wiggins氏は、WyndhamのAndroidアプリを解析し、ソースコードに埋め込まれたパスワードを発見した。TechCrunchによると、その認証情報を使うと、Salesforce上の社内データベースへ接続できた。[1]
データベースには氏名、メールアドレス、Wyndham Rewardsの会員番号、ログイン状態を保つJWTと呼ばれるトークン、社内文書が含まれていたという。Wiggins氏は数百万件の項目を確認したが、露出した顧客レコードの正確な件数は特定できなかった。
Wyndhamは約1億2900万人の会員を抱えると10月29日の公式発表で説明している。[2] ただし、この数字は会員制度全体の登録者数だ。1億2900万人分のデータが今回露出した、という意味ではない。
Wyndhamは認証情報を無効化した
Wiggins氏は脆弱性を報告する明確な窓口を見つけられず、TechCrunchへ連絡した。TechCrunchがWyndhamのセキュリティ担当へ知らせた後、認証情報は無効化され、同じ情報ではデータベースへ接続できなくなった。[1]
Wyndhamの広報担当者は、問題へ対処し、不正アクセスの証拠はないと回答した。一方で、過去の接続を調べられるサーバーログを保持しているかは明らかにしなかった。認証情報がアプリに入っていた期間や、顧客への通知、米証券取引委員会への届け出をどう判断するかにも回答しなかった。
そのため、現時点で言えるのは次の範囲だ。
- 外部研究者がアプリ内の認証情報から顧客情報を含むDBへ到達した
- Wyndhamは連絡を受けた後、その認証情報を無効化した
- Wyndhamは不正アクセスの証拠を確認していないと説明した
- 露出した顧客数、露出期間、第三者のアクセス有無は未確認である
「侵害された」「漏えいした」と断定すると、確認済みの事実を越える。経路が開いていたことと、第三者が実際にデータを持ち出したことは別だ。
ハードコードは配布後に秘密ではなくなる
認証情報をプログラムのコードへ直接書くことを、ハードコードと呼ぶ。サーバーの内部だけで動くコードなら閲覧者を制限できるが、スマートフォンアプリは利用者の端末へ配られる。解析される前提で設計しなければならない。
MITREのCWE-798は、外部サービスの認証情報をクライアント側へ埋め込む問題を説明している。バイナリから認証情報を取り出され、意図しない利用者がバックエンドへ接続できるためだ。対策として、秘密情報をコードの外に置き、権限を必要最小限に制限し、鍵を更新できる設計を挙げる。[3]
アプリにAPIの接続先や公開用の識別子が含まれること自体は珍しくない。問題は、取り出した人が顧客DBを読める権限まで持つ認証情報を置くことだ。モバイルアプリは自社ネットワークの外で複製されるため、秘密を隠す場所にはならない。
サーバー側はアプリから届いた要求をそのまま信用せず、利用者ごとに本人確認と権限判定をやり直す。仮にアプリ内の情報が読まれても、全顧客のデータへ一つの資格情報で届かない境界を作るべきだ。
AIで見つけやすくなり、点検範囲も広がる
Wiggins氏は今回と、その約2週間前に見つけたApplebee'sアプリの類似問題の調査にAIツールを使ったとTechCrunchへ説明した。AIが逆コンパイルしたコードを大量に読み、単純な認証情報の文字列を探す作業を速めたという。[1]
これは高度な新しい攻撃手法が生まれたという話ではない。以前からある設定ミスを、外部の研究者も攻撃者も短時間で探せるようになったという変化だ。開発側も同じ速度で、公開前のアプリ、古いバージョン、テスト用設定を機械的に点検する必要がある。
確認の対象はパスワードらしい文字列だけではない。接続先、APIキー、秘密鍵、JWTの署名鍵、管理者権限、デバッグ用の機能を洗い出し、見つかった資格情報で何ができるかを試す。権限が限定され、失効期限が短く、漏れても更新できる設計にしておく。
報告窓口と接続ログが被害判断を支える
今回、研究者はWyndhamへ直接届ける窓口を見つけられず、報道機関を介した。Wyndhamのサイバーセキュリティ責任者は、今後の報告先としてsecurity@wyndham.comを示した。公開された脆弱性報告制度を設けるかは明らかにしていない。[1]
企業が用意すべきなのは、メールアドレスだけではない。受領確認、緊急度の判定、担当部署への引き渡し、修正、研究者への連絡、公開判断までを決める必要がある。security.txtをWebサイトへ置けば、研究者が報告先と方針を機械的に見つけやすくなる。IETFのRFC 9116はその標準的な置き方を定めている。[4]
同時に、認証情報を失効させた後、過去に誰が接続したかを調べられるログが要る。入口を閉じても、記録がなければ「証拠がない」と「接続がなかった」を分けられない。アプリの安全性はコード検査、権限設計、ログ、報告窓口を一つの運用として扱うべきだ。
まとめ
- WyndhamのAndroidアプリには、顧客情報を含むSalesforce DBへ到達できる認証情報が埋め込まれていた
- 認証情報は無効化され、不正アクセスの証拠はないとされたが、露出件数と期間、第三者アクセスの有無は未確認である
- 配布アプリへ秘密情報を置かず、最小権限、失効、接続ログ、外部研究者の報告窓口まで整える必要がある
出典・参考
- TechCrunch「Hotel giant Wyndham exposed customer data after app security lapse」（2026年11月9日）原典
- Wyndham Hotels & Resorts「Wyndham Rewards Opens the Door to Extraordinary Escapes with Debut of Homes & Havens」（2026年10月29日）原典
- MITRE CWE「CWE-798: Use of Hard-coded Credentials」（確認日：2026年11月10日）原典
- IETF「RFC 9116: A File Format to Aid in Security Vulnerability Disclosure」（2022年4月）原典
読者のコメント (0)
コメントを残す