Θέμα ευπάθειας στην υπηρεσία web του Marriott Hotel, εκμεταλλεύτηκε ένας ερευνητής ασφαλείας προκειμένου να αποκτήσει πρόσβαση σε πληροφορίες σχετικά με τις κρατήσεις των πελατών, καθώς και να πάρει όλα τα οικονομικά τους στοιχεία.
Ο ερευνητής ασφαλείας παρατήρησε ότι όταν ζητούσε πληροφορίες από το σύστημα σχετικά με τις μελλοντικές κρατήσεις στην app για Android, αφού έκανε log in στον Marriot Rewards Account, μπορούσε να αντλήσει τις πληροφορίες πολύ εύκολα αφού δεν υπήρχε κανένα μέτρο προστασίας.
Ο Randy Westegren, ο οποίος είναι προγραμματιστής στο XDA-developers, παρατήρησε ότι υπήρχε καμία άδεια ή cookie, αφήνοντας περιθώρια για την απόκτηση πληροφοριών σχετικά με τις κρατήσεις από άλλους πελάτες.
Αυτό μπορούσε να επιτευχθεί με βάση μόνο το αναγνωριστικό της ένταξης στο account. «το σύστημα του Marriott δεχόταν τις κρατήσεις χωρίς έλεγχο ταυτότητας της αίτησης στην υπηρεσία web, που σημαίνει ότι κάποιος θα μπορούσε να βρει τα δεδομένα των κρατήσεων αρκεί να γνώριζε μόνο το αναγνωριστικό μέλους στην υπηρεσία», όπως αναφέρει ο Westegren, σε blog τη περασμένη Κυριακή.
Ο Westegren γνωρίζοντας μόνο το επώνυμο κάποιου πελάτη και τον αριθμό της κράτησης μπόρεσε να αποκτήσει πλήρη πρόσβαση στα στοιχεία του, που ήταν διαθέσιμα και χωρίς κάποια προστασία μέσα στην εφαρμογή.
Αξιοποιώντας αυτό το πρόβλημα ασφαλείας, ο ερευνητής θα μπορούσε να έχει ακυρώσει τη κράτησης. Πέραν τούτου, σε μια διαφορετική οθόνη, πήρε τα τελευταία τέσσερα ψηφία του αριθμού της κάρτας πληρωμής, μαζί με το όνομα, την ηλεκτρονική διεύθυνση, την ημερομηνία λήξης της κάρτας, καθώς και τη διεύθυνση του πελάτη.
Ο ερευνητής κοινοποίησε την έκθεση του στο Marriot, το οποίο αντέδρασε άμεσα και διόρθωσε το πρόβλημα την ίδια ημέρα.
