윈덤 앱에 하드코딩된 비밀번호로 고객 정보 노출

윈덤 앱에 하드코딩된 비밀번호로 고객 정보 노출

1. 윈덤 호텔·리조트에서 고객 정보에 접근 가능한 보안 취약점이 발견됨

• 보안 연구원 로버트 위긴스가 윈덤 안드로이드 앱의 소스 코드에 하드코딩된 비밀번호를 찾아냄
• 해당 인증 정보로 Salesforce가 호스팅하는 내부 데이터베이스에 접근할 수 있었음

2. 데이터베이스에 고객 개인정보와 내부 자료가 저장돼 있었음

• 고객 이름, 이메일 주소, 윈덤 회원 번호, 로그인 유지에 사용되는 JWT 토큰, 회사 파일과 문서가 포함됐음
• 데이터베이스에는 수백만 건의 항목이 있었으나 실제 노출 고객 수는 확인되지 않았으며, 윈덤은 리워즈 회원 약 1억 2,900만 명을 보유하고 있음

3. 윈덤은 인증 정보를 폐기했으나 사고 범위와 후속 조치는 불명확함

• 테크크런치가 회사 보안팀에 알린 뒤 노출된 인증 정보가 폐기됐으며, 회사는 무단 접근의 증거가 없다고 밝혔음
• 서버 로그 확인 가능 여부, 고객 및 미국 규제기관 통지 여부, 비밀번호가 앱에 포함된 기간, 장기적 개선 방안은 공개하지 않았음

4. 취약점 신고 절차와 앱 보안 관리에 과제가 남아 있음

• 연구원은 공식 취약점 신고 경로가 없어 언론을 통해 회사에 알렸으며, 윈덤 보안 책임자는 잠재적 취약점 정보를 이메일로 보내라고 안내했음
• 공개 앱에 인증 정보를 내장하면 누구나 추출해 서버나 데이터베이스에 접근할 수 있으며, 위긴스는 AI 도구를 활용해 2주 사이 윈덤과 애플비 앱에서 유사 취약점을 발견했음

5. 윈덤에서는 과거에도 호텔 투숙객 정보 관련 보안 사고가 발생함

• 2024년 일부 윈덤 호텔의 체크인 데스크에서 원격 접근 스파이웨어가 발견돼 투숙객 기록과 예약 정보 화면이 공개 웹으로 유출되고 있었음
• 해당 스파이웨어 업체는 해킹과 데이터 탈취를 겪은 뒤 폐업했으며, 운영자는 불법 스파이웨어 제작·판매·광고 혐의로 유죄 판결을 받았음

🔑 시사점

• 호텔은 고객용 앱과 내부 데이터베이스의 인증 정보를 정기적으로 점검하고, 비밀정보를 앱에 포함하지 않는 안전한 인증·키 관리 체계를 적용해야 함
• 노출 사고에 대비해 접근 로그 보존과 분석, 고객·규제기관 통지 기준, 취약점 제보 채널 및 처리 절차를 사전에 마련해야 함
• 호텔 현장 단말과 원격 관리 소프트웨어까지 보안 점검 범위를 넓히고, 예약·체크인 정보의 최소 수집과 접근 통제로 피해 확산을 줄여야 함