Veille menaces / Faille
Wyndham : un mot de passe laissé dans l'application Android ouvrait une base clients interne
Le chercheur en sécurité Robert Wiggins, de What Security, a trouvé dans le code source de l'application Android de Wyndham un mot de passe qui donnait accès à une base de données interne hébergée chez Salesforce, a rapporté TechCrunch le 9 novembre 2026. La base contenait des noms de clients, des adresses e-mail, des numéros de membre Wyndham, des jetons de connexion de clients et des fichiers internes, en « millions d'entrées ». Wyndham a révoqué l'identifiant peu après l'alerte de TechCrunch et affirme que ses équipes de sécurité n'ont aucune preuve d'accès non autorisé.
- Secteur
- Applis et appareils grand public
- Point d'entrée
- Identifiants volés
- Produit ou fournisseur
- Wyndham app, Salesforce
- Comment c'est arrivé
- Un mot de passe inscrit dans le code source de l'application Android de Wyndham donnait accès à une base de données interne de Wyndham hébergée chez Salesforce, selon le chercheur qui l'a trouvé. Wyndham n'a pas voulu dire depuis combien de temps ce mot de passe figurait dans l'application.[1] Vérifié le 14 nov. 2026
- Ce qui a été volé
- Aucun vol n'a été signalé. Les données exposées comprenaient des noms de clients, des adresses e-mail, des numéros de membre Wyndham, des jetons de connexion de clients (JWT) ainsi que des fichiers et documents de Wyndham. Wyndham dit n'avoir aucune preuve d'accès non autorisé, sans vouloir dire si elle dispose de journaux pour vérifier les accès passés.[1] Vérifié le 14 nov. 2026
- Qui est touché
- Les clients de Wyndham dont les fiches figuraient dans la base. Le chercheur a compté des « millions d'entrées » sans pouvoir donner un nombre précis d'enregistrements exposés. Wyndham n'a pas voulu dire si elle préviendrait ses clients.[1] Vérifié le 14 nov. 2026
- Acteur
- Non attribué
Chronologie
- TechCrunch rapporte que le chercheur Robert Wiggins a trouvé un mot de passe de base de données dans l'application Android de Wyndham ; il a demandé à TechCrunch de prévenir l'entreprise, faute de moyen de signaler une faille chez Wyndham. Wyndham révoque l'identifiant peu après avoir été contactée et indique que son équipe a pris des mesures pour régler le problème. [1]