温德姆酒店集团近期曝出客户数据安全事件，安全研究员在温德姆安卓 APP 的代码里发现写死的登录凭证，拿到凭证就能访问 Salesforce 托管的内部客户数据库，数据库里包含客户姓名、邮箱、会员编号还有登录令牌，预估涉及数百万条记录，研究员发现漏洞之后，因为找不到官方漏洞上报通道，只能借助媒体联系企业，温德姆在收到通知后立刻撤销了该密码，阻断访问通道，不过集团表示目前没有证据证明数据已经被其他人非法读取。这次出事的根源是开发时把访问数据库的账号密码直接写进 APP 源码，也就是硬编码，任何人拿到 APP 安装包都可以提取这份凭证，属于很基础的安全失误，温德姆会员总量高达 1.29 亿，所以这次漏洞曝光之后，很多会员都担心自己的个人信息被抓取。
本次漏洞事件基础信息
| 项目 | 详情 |
|---|---|
| 漏洞位置 | 温德姆安卓版 APP 源代码 |
| 漏洞类型 | 硬编码密码凭证泄露 |
| 托管数据库平台 | Salesforce |
| 可访问数据 | 客户姓名、电子邮箱、会员编号、登录 JWT 令牌、企业内部文档 |
| 预估记录规模 | 数百万条（研究员估算） |
| 集团会员总数 | 1.29 亿人 |
| 处置动作 | 紧急撤销密码凭证，关闭非法访问入口 |
| 官方说法 | 暂未发现有第三方在修复前非法访问数据 |
事件时间线梳理
- 安全研究员 Robert Wiggins 发现安卓 APP 内置硬编码访问凭证
- 尝试向温德姆上报漏洞，没有找到合适的漏洞提交渠道
- 联系 TechCrunch 媒体，由媒体转达安全隐患给温德姆安全团队
- 温德姆收到消息，马上撤销密码，封堵访问通道
- 事件对外公开，温德姆确认该安全事件，对外说明情况
存在的风险说明
- 登录令牌一旦被获取，攻击者可以直接冒用账号登录温德姆会员账号
- 邮箱、会员信息被收集后，容易收到钓鱼诈骗短信和邮件
- 漏洞存在时长不确定，无法完全排除之前已经被人抓取数据的可能性
温德姆会员自查和防护建议
- 登录温德姆会员账号，修改自己的登录密码，设置复杂度更高的密码
- 留意邮箱、短信里陌生的温德姆相关链接，不要随意点开
- 开启账号相关的登录提醒，关注异地登录通知
- 近期不要在陌生平台填写温德姆会员信息、身份证、银行卡信息
整体来看，这次温德姆客户数据风险，是开发安全规范不到位造成的低级漏洞，虽然官方称暂未发现数据被窃取，但有会员信息暴露的隐患，有温德姆会员账号的用户建议及时做好账号安全加固。
【相关 FAQ】
问题 1：温德姆酒店集团被曝泄露客户数据，漏洞出在哪里？
回答 1：温德姆酒店集团被曝泄露客户数据，漏洞出在安卓 APP 源码中，里面写死了访问 Salesforce 客户数据库的密码凭证，他人提取凭证就可以访问客户信息。
问题 2：温德姆酒店集团这次客户数据泄露风险，里面包含哪些信息？
回答 2：温德姆酒店集团这次客户数据泄露风险，数据库里包含客户姓名、邮箱、会员编号、登录令牌，还有部分温德姆内部文档。
问题 3：温德姆酒店集团被曝客户数据漏洞之后，会员要做什么防护？
回答 3：温德姆酒店集团被曝客户数据漏洞之后，会员优先修改账号密码，留意钓鱼信息，开启登录提醒，警惕陌生链接防止被骗。
【参考资料】
[2026-11-11]（温德姆酒店集团，数百万条客户数据或遭泄露）环球旅讯
[2026-11-10]（温德姆酒店集团被曝泄露客户数据：安卓 APP 内置硬编码密码）TechCrunch 中文报道
[2026-11-10]（Wyndham hotel app exposed customer data via hardcoded password）TechCrunch
[2026-11-10]（温德姆承认安卓 APP 安全漏洞，已撤销访问凭证）Infobae
【免责声明】
本文内容为媒体公开安全事件信息整理，温德姆酒店集团官方表示暂未查实数据被非法窃取，实际受影响范围、是否发生真实数据外泄以温德姆后续官方公告、监管调查结论为准，内容仅作安全资讯参考，不构成法律定性。
本文来自作者[涧岭奶酥]投稿，不代表海博商机网立场，如若转载，请注明出处：https://www.hb12369.net/qyzx/202611/451.html
评论列表（4条）
我是海博商机网的签约作者“涧岭奶酥”！
希望本篇文章《温德姆酒店集团被曝安卓 APP 硬编码密码漏洞，数百万客户数据存在泄露风险》能对你有所帮助！
本站[海博商机网]内容主要涵盖：互联网行业的追踪与探索
本文概览：温德姆酒店集团近期曝出客户数据安全事件，安全研究员在温德姆安卓 APP 的代码里发现写死的登录凭证，拿到凭证就能访问 Salesforce 托管的内部客户数据库，数据库里包含客户姓名、邮箱、会员编号还有登录令牌，预估涉及数百万条记录，研究员发现漏洞之后，因为找不到官方漏洞上报通道，只能借助媒体联系企业，温德姆在收到通知后立刻撤销了该密码，阻断访问通道，不过集团表示目前没有证据证明数据已经被其他人非法读取。这次出事的根源是开发时把访问数据库的账号密码直接写进 APP 源码，也就是硬编码，任何人拿到 APP 安装包都可以提取这份凭证，属于很基础的安全失误，温德姆会员总量高达 1.29 亿，所以这次漏洞曝光之后，很多会员都担心自己的个人信息被抓取。