Raksasa perhotelan Wyndham resmi mengakui insiden kebocoran data pelanggan yang dipicu oleh kelalaian keamanan pada aplikasi seluler mereka. Masalah ini bermula ketika seorang peneliti keamanan siber, Robert Wiggins, menemukan kata sandi akses yang tertanam di dalam kode sumber aplikasi Android milik perusahaan tersebut. Kata sandi ini memberikan akses langsung ke basis data internal perusahaan yang dihosting oleh platform Salesforce.
Temuan tersebut mengungkap informasi sensitif milik jutaan anggota Wyndham Rewards, termasuk nama lengkap, alamat email, hingga nomor keanggotaan. Lebih mengkhawatirkan lagi, basis data tersebut juga menyimpan token otentikasi JWT (JSON Web Tokens) yang memungkinkan pihak tak bertanggung jawab tetap masuk ke akun pengguna tanpa perlu melewati proses login ulang. Dokumen internal perusahaan pun turut terpapar dalam insiden ini.
Praktik penyisipan kata sandi langsung ke dalam kode aplikasi, yang dikenal sebagai hardcoding, merupakan kesalahan fundamental dalam pengembangan perangkat lunak. Pengembang seharusnya menghindari metode ini karena siapa pun yang memiliki akses ke file aplikasi dapat mengekstrak kredensial tersebut dengan mudah. Karena risiko yang ditimbulkan sangat fatal, celah seperti ini sering dikategorikan sebagai kerentanan dengan tingkat keparahan maksimal.
Wiggins mengungkapkan bahwa ia menggunakan bantuan kecerdasan buatan (AI) untuk memindai ribuan baris kode aplikasi yang telah didekompilasi. Teknologi AI memungkinkan peneliti menemukan kelemahan keamanan sederhana seperti hardcoding dalam hitungan detik. Ini merupakan penemuan kedua Wiggins dalam dua pekan terakhir, setelah sebelumnya ia mendeteksi kerentanan serupa pada aplikasi jaringan restoran Applebee’s.
Setelah mendapatkan konfirmasi dari pihak TechCrunch, Wyndham segera mencabut kredensial yang bocor tersebut. Meski perusahaan mengklaim tidak memiliki bukti adanya akses ilegal, mereka tidak dapat memastikan apakah pihak luar sempat menyalahgunakan data tersebut sebelum temuan ini dilaporkan. Pihak manajemen bahkan enggan memberikan rincian teknis mengenai log server atau rencana pemberitahuan kepada pelanggan yang terdampak.
Bagi industri perhotelan di Indonesia, insiden ini menjadi pengingat keras akan pentingnya audit keamanan aplikasi secara berkala. Banyak jaringan hotel di tanah air kini beralih ke ekosistem digital untuk mempermudah reservasi. Namun, perlindungan data pribadi seringkali menjadi titik lemah saat perusahaan melakukan percepatan transformasi digital tanpa dibarengi dengan praktik pengodean yang aman.
Indonesia sendiri saat ini telah memiliki Undang-Undang Pelindungan Data Pribadi (UU PDP) yang mewajibkan perusahaan untuk menjaga kerahasiaan data pengguna. Jika kasus seperti Wyndham terjadi di Indonesia, perusahaan dapat menghadapi sanksi administratif hingga denda berat. Kesadaran akan keamanan siber bukan lagi sekadar pilihan, melainkan kewajiban hukum yang ketat bagi penyedia layanan digital.
Ketiadaan program pengungkapan kerentanan (vulnerability disclosure program) yang resmi di Wyndham juga menjadi sorotan. Peneliti sering kali kesulitan melaporkan celah keamanan karena perusahaan tidak menyediakan jalur komunikasi yang jelas. Padahal, kolaborasi dengan komunitas peretas etis dapat menjadi benteng pertahanan terakhir sebelum data jatuh ke tangan pelaku kejahatan siber.
Ini bukan kali pertama Wyndham berurusan dengan masalah keamanan. Pada tahun 2024, perusahaan ini sempat terseret kasus spyware pcTattletale yang mencuri data dari komputer meja resepsionis hotel. Kejadian berulang ini menunjukkan bahwa tantangan keamanan siber di sektor perhotelan bersifat sistemik dan membutuhkan perbaikan menyeluruh pada infrastruktur TI mereka.
Ke depannya, perusahaan harus beralih dari pendekatan reaktif menjadi proaktif. Integrasi alat pemindaian keamanan otomatis ke dalam alur kerja pengembangan aplikasi (DevSecOps) adalah solusi mutlak. Tanpa langkah perbaikan yang transparan, kepercayaan pelanggan akan terus tergerus, terutama di era di mana privasi data menjadi mata uang utama dalam industri perhotelan global.