全球大型酒店集团温德姆已经公开承认，旗下安卓客户端存在严重安全缺陷，程序代码里遗留写死的账号密码，拿到安装包的人都能提取凭证，访问托管在 Salesforce 的内部数据库，数据库里面存放数百万条客户记录，包含姓名、邮箱、会员编号，还有可以保持登录状态的 JWT 令牌，拿到令牌甚至可以直接接管用户 App 会话；漏洞由独立安全研究员 Robert Wiggins 发现并通过媒体通报，温德姆在收到消息之后立刻撤销泄露凭证、封堵入口，但官方强调目前没有找到证据证明有人恶意越权拉取数据，同时也坦言，自身日志能力不足以完全确认漏洞暴露期间有没有第三方偷偷访问库内信息，温德姆整个奖励会员体系一共有 1.29 亿注册用户，暂时没法锁定确切受影响人数，也还没有确定要不要单独通知被波及的客户。这次出事只是安卓版本 App，iOS 客户端没有查出同类硬编码凭据，暴露的根源属于开发遗留问题，开发阶段为调试写进代码的管理员账号，上线前清理审计漏掉，属于很低级但是破坏力极强的安全失误，也再次暴露很多酒店出行类 App 在上线安全审计、漏洞上报通道上面的短板，该研究员还提到，一开始找不到温德姆官方的漏洞提报入口，只能借助科技媒体帮忙转告。
一、事件基础卡片
| 项目 | 详情 |
|---|---|
| 涉事产品 | 温德姆 Wyndham Rewards 安卓 App |
| 漏洞类型 | 硬编码凭据（代码内置账号密码） |
| 目标数据库 | Salesforce 托管内部客户库 |
| 可获取数据 | 用户姓名、邮箱、会员编号、JWT 登录令牌、部分内部文档 |
| 预估记录规模 | 数百万条记录；总会员池约 1.29 亿 |
| 官方初步判断 | 暂无证据证明遭到未授权访问，但无法完全核验 |
| 处置动作 | 撤销泄露凭证、修复 App、封堵数据库访问入口 |
| 未解决事项 | 受影响精确人数、是否通知用户、监管报备方案未定 |
二、漏洞完整触发链路
- 任何人拿到温德姆安卓 App 的安装包，逆向解包，就能直接扒出写死在源代码里的管理员账号和密码。
- 使用这套凭据，就能直连 Salesforce 托管的客户数据库，不需要单独账号申请、二次校验。
- 在库内读取会员基础信息，以及长期有效的登录令牌；拿到令牌可以冒用身份保持 App 登录。
- 研究员把情况提交媒体，媒体联系温德姆安全团队之后，账号被紧急吊销，切断这条访问通道。
三、涉事数据风险等级区分
- 基础个人信息：姓名、邮箱、会员号，多用于钓鱼定向推送、垃圾邮件。
- JWT 登录令牌（高风险）：不需要用户账号密码，就能维持 App 登录，可查看订单、修改部分账户设置。
- 内部文档：少量企业内部文件，暂时没有发现支付卡号、身份证这类高敏感证件数据。
- 排除项：本次漏洞暂未爆出信用卡、护照信息泄露。
四、温德姆当前的应对措施清单
- 立刻吊销代码里泄露的数据库访问凭据，关闭后门通道。
- 更新安卓 App，移除代码里面遗留的调试账号，补充安全审计。
- 内部复盘上线审核流程，补齐代码扫描环节，防止同类硬编码凭据再次上线。
- 排查其余移动端、网页端入口，寻找同类漏洞。
- 评估后续是否向监管上报、定向通知疑似受影响会员。
五、普通用户自保操作
- 更新温德姆安卓 App 到最新版本，旧版安装包存在被逆向提取凭据的风险。
- 修改温德姆会员账户登录密码，如果这个密码在其他平台复用，一并更换。
- 开启账户可用的二次验证，降低令牌泄露之后的账号劫持风险。
- 留意收到的钓鱼邮件、短信，凡是索要银行卡、证件信息的链接一律不点。
- 如果不需要持续使用，可以主动退出 App，减少有效令牌存活窗口。
六、和以往温德姆安全事件差别
早年温德姆曾经发生过预订系统入侵，大量入住信息、支付数据外流；这次不一样，源头不是外部黑客攻破服务器，而是开发人员遗留调试账号，属于上线前的安全疏漏，并且目前没有实锤黑客入侵窃取记录，但是漏洞本身公开门槛极低，只要会简单逆向就能拿到入口，潜在威胁不容小看。
【相关 FAQ】
问题 1：温德姆承认 App 缺陷致客户数据暴露，漏洞出在哪一款软件？
回答 1：温德姆承认 App 缺陷致客户数据暴露，漏洞出现在 Wyndham Rewards 的安卓 App，iOS 版本暂时没有发现同类硬编码凭据漏洞。
问题 2：温德姆承认 App 缺陷致客户数据暴露，攻击者可以拿到哪些客户信息？
回答 2：温德姆承认 App 缺陷致客户数据暴露，利用漏洞可以获取客户姓名、邮箱、温德姆会员编号以及 JWT 登录令牌，拿到令牌可以维持 App 登录，同时库内还有部分企业内部文档。
问题 3：温德姆承认 App 缺陷致客户数据暴露，官方确认已经有黑客偷走数据吗？
回答 3：温德姆承认 App 缺陷致客户数据暴露，官方表示目前没有找到证据证明发生恶意未授权访问，但也承认日志不足以百分百确认有没有人悄悄读取数据库。
问题 4：温德姆承认 App 缺陷致客户数据暴露，温德姆会员现在该怎么做保护账号？
回答 4：温德姆承认 App 缺陷致客户数据暴露，会员应该升级安卓 App、修改账户密码、开启二次验证，警惕冒充温德姆的钓鱼消息，不要点击陌生链接。
【参考资料】
[2026-11-11]（温德姆酒店集团，数百万条客户数据或遭泄露）环球旅讯
[2026-11-10]（Hotel giant Wyndham exposed customer data after app security lapse）TechCrunch
[2026-11-10]（Wyndham confirms it exposed hotel customer data after expert finds flaw in app security）TechRadar
[2026-11-10]（La cadena de hoteles Wyndham expuso datos de clientes al dejar una contraseña dentro de su aplicación para Android）Infobae
[2026-11-10]（Wyndham confirms customer data exposure from flawed Android app）MalwareTips
【免责声明】
本文围绕温德姆 App 漏洞、客户数据暴露事件的公开报道整理；目前确切受影响人数、后续用户通知计划还没有最终敲定，有没有发生实际窃取还有待进一步核查；本文仅做网络安全事件解读，不构成法律咨询、酒店会员账户处置的唯一依据。