Ngày 9/11/2026, tập đoàn khách sạn Wyndham thừa nhận một sự cố an ninh mạng sau khi một nhà nghiên cứu bảo mật phát hiện ứng dụng Android của hãng chứa sẵn mật khẩu truy cập cơ sở dữ liệu nội bộ. Vụ Wyndham lộ dữ liệu khách hàng này không cần kỹ thuật tấn công phức tạp: chỉ cần có bản cài đặt của ứng dụng là lấy được chìa khoá. Đây cũng là bài học quen thuộc nhưng vẫn bị lặp lại với nhiều doanh nghiệp.
Một mật khẩu nằm trong mã nguồn ứng dụng Android
Theo TechCrunch, nhà nghiên cứu Robert Wiggins của What Security tìm thấy một thông tin xác thực nằm ngay trong mã nguồn ứng dụng khách hàng của Wyndham trên Android. Thông tin này cho phép đăng nhập vào một cơ sở dữ liệu nội bộ đặt trên nền tảng Salesforce.
Dữ liệu lộ ra gồm tên, địa chỉ email và mã thành viên của khách hàng. Cơ sở dữ liệu còn lưu cả token đăng nhập dạng JWT, thứ giúp người dùng không phải nhập lại mật khẩu mỗi lần mở app, cùng một số tệp và tài liệu của Wyndham. Wiggins cho biết cơ sở dữ liệu có hàng triệu bản ghi, nhưng ông không xác định được con số chính xác. Để dễ hình dung quy mô, Wyndham tự công bố có khoảng 129 triệu hội viên chương trình tích điểm.
Khi TechCrunch liên hệ với đội an ninh mạng của Wyndham, thông tin xác thực bị lộ đã được thu hồi nhanh chóng, nên không ai truy cập thêm được vào cơ sở dữ liệu đó.
Wyndham nói không có dấu hiệu truy cập trái phép, nhưng bỏ ngỏ nhiều câu hỏi
Phát ngôn viên của Wyndham cho biết đội ngũ đã xử lý vấn đề và "không có bằng chứng" về truy cập trái phép. Tuy vậy, hãng không giải thích căn cứ của nhận định này. Khi được hỏi liệu công ty có nhật ký máy chủ để kiểm tra các lượt truy cập trước thời điểm phát hiện hay không, Wyndham không trả lời.
Nhiều câu hỏi quan trọng khác cũng chưa có lời đáp:
- Mật khẩu đã nằm trong ứng dụng bao lâu.
- Wyndham có thông báo cho khách hàng bị ảnh hưởng hay không.
- Công ty có khai báo sự cố với cơ quan quản lý Mỹ như SEC hay không, vốn là nghĩa vụ với công ty đại chúng khi có sự cố an ninh mạng trọng yếu.
- Khi nào ứng dụng nhận được bản sửa lỗi lâu dài.
Wiggins nhận xét rằng việc vá lỗi là tin tốt, nhưng nếu không có khả năng xem lại lịch sử truy cập thì không thể loại trừ khả năng ai đó đã lấy đi lượng lớn dữ liệu cá nhân trước đó.
Lỗi "hardcode" nguy hiểm vì quá dễ bị khai thác
Hardcode thông tin xác thực nghĩa là viết thẳng mật khẩu, khoá API hay khoá bí mật vào mã nguồn. Với ứng dụng di động, bất kỳ ai tải về file cài đặt đều có thể dịch ngược và đọc lại những chuỗi này, rồi dùng chúng để đăng nhập vào máy chủ như người có quyền. Chính vì thế, các lỗi kiểu này thường được chấm mức độ nghiêm trọng tối đa.
Điểm đáng chú ý là công cụ phát hiện. Wiggins cho biết ông dùng công cụ AI để rà hàng nghìn dòng mã đã dịch ngược mỗi giây. Nói cách khác, những sai sót đơn giản mà trước đây phải mất công đọc thủ công nay có thể bị quét hàng loạt, và kẻ xấu cũng có thể làm điều tương tự.
Applebee's chỉ là vụ trước đó hai tuần
Đây là lần thứ hai trong vòng hai tuần Wiggins công bố lỗi kiểu này. Ngày 30/10/2026, TechCrunch đưa tin về việc ứng dụng Android của chuỗi nhà hàng Applebee's cũng chứa mật khẩu cơ sở dữ liệu khách hàng. Trong vụ đó, dữ liệu lộ ra gồm tên, email, ngày sinh, số điện thoại, mã ZIP và địa chỉ IP của lần đăng nhập gần nhất. Theo Wiggins, thông tin xác thực này còn có thể cho phép kẻ xấu sửa dữ liệu trong cơ sở dữ liệu.
Cả Applebee's lẫn Wyndham đều không có kênh để nhà nghiên cứu báo lỗi bảo mật, nên Wiggins phải nhờ báo chí chuyển thông tin. Wyndham cũng không nói liệu có lập chương trình tiếp nhận báo cáo lỗ hổng hay không, dù giám đốc an ninh mạng của hãng cho biết nhà nghiên cứu có thể gửi thông tin qua một địa chỉ email riêng. Trước đó, năm 2024, Wyndham từng dính một sự cố khác khi phần mềm gián điệp được tìm thấy trên máy tính check-in của một số khách sạn.
Doanh nghiệp và đội phát triển nên làm gì ngay
Sự cố này không chỉ là chuyện của ngành khách sạn. Bất kỳ đơn vị nào có ứng dụng di động kết nối CRM, cơ sở dữ liệu hay API nội bộ đều có thể mắc lỗi tương tự. Một số việc nên làm sớm:
- Rà soát mã nguồn và file cài đặt: tìm chuỗi mật khẩu, khoá API, token trong cả mã gốc lẫn bản build phát hành. Công cụ quét bí mật như secret scanning của GitHub giúp chặn từ khi commit.
- Không để app giữ khoá có quyền rộng: ứng dụng nên gọi qua máy chủ trung gian, cấp token ngắn hạn và phân quyền tối thiểu cho từng người dùng.
- Xoay vòng khoá định kỳ: khi nghi ngờ lộ, phải thu hồi được ngay mà không phải phát hành lại toàn bộ ứng dụng.
- Bật nhật ký truy cập: nếu không có log, doanh nghiệp không thể trả lời câu hỏi cơ bản nhất sau sự cố là ai đã vào và lấy gì. Vụ DreamHost bị tấn công lộ phiên đăng nhập cũng cho thấy dữ liệu phiên là mục tiêu đáng giá.
- Mở kênh tiếp nhận lỗ hổng: một địa chỉ email bảo mật và trang chính sách công bố có thể giúp lỗi được báo thẳng đến đội kỹ thuật thay vì đi vòng qua báo chí.
Với khách hàng, những thông tin như tên, email và mã thành viên thường bị dùng để lừa đảo có chủ đích. Nếu dùng dịch vụ liên quan, hãy cảnh giác với email lạ và tham khảo hướng dẫn nhận biết email, tin nhắn lừa đảo phishing.
Điều đáng rút ra
Vụ Wyndham cho thấy một lỗi cơ bản ở khâu phát triển có thể mở toàn bộ kho dữ liệu khách hàng, và rằng khả năng điều tra sau sự cố quan trọng không kém việc vá lỗi. Khi công cụ AI giúp việc dò tìm sai sót trở nên rẻ và nhanh, kiểm tra bảo mật ứng dụng cần được coi là bước bắt buộc trước mỗi lần phát hành.
Nếu doanh nghiệp bạn đang vận hành ứng dụng di động hoặc hệ thống tích hợp CRM và muốn rà soát kiến trúc, quản lý bí mật và quy trình phát hành an toàn, hãy liên hệ đội ngũ Besoft để được tư vấn.
Nguồn tham khảo
- TechCrunch, "Hotel giant Wyndham exposed customer data after app security lapse", 9/11/2026.
- TechCrunch, "Applebee's exposed customers' personal data after leaving database password in app", 30/10/2026.
