Aplicación de Marriott para Android dejó vulnerables datos de usuarios durante años

Un desarrollador llamado Randy Westergren publicó recientemente una grave vulnerabilidad en la aplicación oficial de la cadena de hoteles Marriott para Android, la que potencialmente habría permitido el robo de identidad durante al menos los últimos cuatro años.

Tras analizar las interacciones entre la aplicación y los servidores de Marriott, Westergreen encontró que cuando uno realizaba una reservación con la aplicación, ésta no realizaba ningún tipo de autenticación en la solicitud a los servidores de la cadena de hoteles, lo que significaba que bastaba con modificar el código asociado al cliente para recibir información sensible de otro cliente cualquiera, como por ejemplo el apellido del usuario.

Con el código y el apellido, uno posteriormente podía ingresar al sitio web del Marriott para ver la reservación e incluso cancelarla. Lo que es más grave, es que entrando a otra página asociada uno podía obtener todos los datos personales del cliente como su nombre, dirección y correo electrónico. Eso sí, respecto al número de tarjeta de crédito, ésta solo revelaba los cuatro últimos. Sin embargo, con esa información uno ya queda sumamente expuesto a sufrir un robo de identidad en combinación con otros sitios.

La vulnerabilidad era tan grande que incluso el desarrollador creó un script para ir probando automáticamente diversos códigos de clientes con los servidores del Marriott, deteniéndose cada vez que encontraba una coincidencia. Afortunadamente, Westergren relató que apenas pudo contactarse con la gente de la cadena de hoteles, éstos parcharon la aplicación prácticamente al día siguiente.