Wyndham expuso datos de clientes por una contraseña guardada dentro de su app Android

Un investigador halló en el código de la app una credencial que abría una base de datos interna con nombres, correos y números de socio.

La cadena hotelera Wyndham reconoció un incidente de ciberseguridad después de que un investigador encontrara una contraseña dentro del código de su app para Android que daba acceso a datos personales de clientes, informó TechCrunch el 9 de noviembre de 2026.

Robert Wiggins, de What Security, dijo que la credencial abría una base de datos interna alojada en Salesforce con nombres, correos electrónicos, números de socio y tokens de sesión (JWT) que mantienen a los clientes conectados en la app. La base tenía millones de registros, aunque no pudo precisar cuántos clientes quedaron expuestos. Wyndham declara unos 129 millones de miembros en su programa de lealtad.

Tras el contacto de TechCrunch, la credencial fue revocada. «Nuestro equipo tomó medidas para resolver el problema», dijo un portavoz, y añadió que no hay evidencia de acceso no autorizado. La empresa no dijo si tiene registros para comprobarlo, cuánto tiempo estuvo la contraseña en la app ni si notificará a los clientes o a la SEC.

Para cualquier empresa con app propia, la lección es básica: una credencial incrustada en una app publicada es, en la práctica, una credencial pública.

Fuente: TechCrunch: «Hotel giant Wyndham exposed customer data after app security lapse», 9 de noviembre de 2026.