Marriott Starwoodin tietomurto: hotellijättiläiselle lähes 100 miljoonan punnan sakko tietosuojalakien rikkomisesta
Hakkerit varastivat 339 miljoonan asiakkaan henkilötiedot
2018 Getty Images
Hotellijätti Marriott International on saanut lähes 100 miljoonan punnan sakot suuresta kyberhyökkäyksestä, jossa hakkerit pääsivät käsiksi yhteensä 339 miljoonan vieraan luottokorttitietoihin, passinumeroihin ja muihin henkilötietoihin.
UK Information Commissioner’s Office (ICO) on määrännyt yhdysvaltalaisen hotelliryhmän maksamaan 99,2 miljoonaa puntaa EU:n yleisen tietosuoja-asetuksen (GDPR) rikkomisesta. Tämä on joukko tiukkoja lakeja, joiden tarkoituksena on suojella yksityisiä käyttäjien tietoja.
Rikkomuksen arvellaan juontavan jopa viisi vuotta sitten, mutta se havaittiin vasta vuonna 2018 ja julkistettiin marraskuussa. BBC raportteja.
Tietokomissaari Elizabeth Denham sanoi, että GDPR-säännöt tekevät selväksi, että organisaatioiden on oltava vastuussa hallussaan pitämistään henkilötiedoista.
Tämä voi sisältää asianmukaisen due diligence -tarkastuksen suorittamisen yrityskauppoja tehtäessä ja asianmukaisten vastuullisuustoimenpiteiden käyttöönottoa, jotta voidaan arvioida paitsi mitä henkilötietoja on hankittu, myös kuinka ne on suojattu, hän sanoi.
Marriott International aikoo valittaa päätöksestä.
Marriott on tehnyt yhteistyötä ICO:n kanssa koko tapauksen tutkinnan ajan, joka sisälsi rikollisen hyökkäyksen Starwoodin vierasvaraustietokantaa vastaan, sanoi yhtiön johtaja Arne Sorenson.
Hotelliketju ei ole ensimmäinen suuri yritys, jota EU:n tietosuojalaki piinaa.
Marriottin sakko tulee päiviä sen jälkeen, kun ICO vahvisti sakkosuunnitelmansa British Airways 183 miljoonaa puntaa hakkerointiin, joka koski puolen miljoonan lentoyhtiön asiakkaan henkilötietoja.
Mitä tapahtui?
Marriott International ilmoitti 30. marraskuuta, että asiakasrekisterit olivat vaarantuneet, mikä saattaa olla yksi historian suurimmista tietomurroista. Alustavien arvioiden mukaan vaikutusten kohteena olevien asiakkaiden määrä on jopa 500 miljoonaa, vaikka määrä on sittemmin laskenut noin 100 miljoonalla.
Yhtiö paljasti, että hakkerit pääsivät Starwoodin - kilpailevan hotelliryhmän, jonka Marriott osti kolme vuotta sitten - vierasvaraustietokantaan jo vuonna 2014, BBC raportteja.
Marriott väittää saaneensa sisäiseltä turvatyökalulta 8. syyskuuta hälytyksen, joka varoitti luvattoman osapuolen yrityksestä päästä käsiksi Starwood-tietokantaan Yhdysvalloissa. Huoltaja .
Tämä löytö sai aikaan lisätutkimuksia, jotka paljastivat pitkäaikaisen luvattoman pääsyn verkkoon, joka on sittemmin poistettu käytöstä.
Hakkeri kopioi ja suojasi tiedot salauksella, mikä vaikeutti viranomaisten sisällön määrittämistä. Hotelliketju sanoi, että sen tutkijat pystyivät vihdoin purkamaan tiedon salauksen 19. marraskuuta.
Kuka oli hyökkäyksen takana?
Kuukausi hyökkäyksen paljastumisen jälkeen tutkimuksesta tiedotetut lähteet syyttivät Kiinan valtion turvallisuusministeriötä, kommunistien hallitsemaa siviilivakoilulaitosta, hakkeroinnin järjestämisestä osana tiedustelupalvelua. New York Times raportteja.
Sanomalehti kertoo, että vakoojat hakkeroivat sairausvakuutusyhtiöitä ja miljoonien muiden amerikkalaisten turvallisuusselvitystiedostoja ennen kuin pääsivät Marriottin omistaman hotelliryhmän henkilökohtaisiin asiakastietoihin.
Yksityisetsijät löysivät hakkerointityökaluja, tekniikoita ja menettelytapoja, joita on käytetty aiemmin kiinalaisten virastojen kyberhyökkäyksissä, kertoi kolme yrityksen sisäpiiriläistä. Reuters .
Vaikka Kiina on tapauksen pääepäilty, lähteet varoittivat, että hakkeroinnin takana oli mahdollista, että muilla osapuolilla oli pääsy samoihin hakkerointityökaluihin, uutissivusto raportoi.
Vaikuttaako sinuun?
Ottaen huomioon hakkeroitujen asiakastietojen valtavan määrän, on suuri mahdollisuus, että kaikki viime vuosina Starwood-hotellissa yöpyneet voivat joutua tietomurron kohteeksi.
Starwoodin Iso-Britannian kiinteistöihin kuuluvat Sheraton Grand Park Lane ja Le Meridien Piccadilly Lontoossa sekä Sheraton Grand Edinburghissa, Huoltaja raportteja.
Marriott-ryhmä listaa vuodon yhteydessä paljastuneet dataluokat seuraavasti:
- Nimet
- Postitusosoite
- Puhelinnumero
- Sähköpostiosoite
- Passin numero
- Starwood Preferred Guest -tilin tiedot
- Syntymäaika
- Sukupuoli
- Saapumis- ja lähtötiedot
- Varauspäivämäärä
- Viestintäasetukset
Yrityksen mukaan useimmissa tapauksissa on vuotanut asiakastietojen yhdistelmä.
Myös määrittelemättömän määrän henkilöitä varastettiin luottokorttitiedot, lisääBusiness Insider. Marriott sanoo, että nämä tiedostot suojattiin salauksella, mutta on mahdollista, että hakkerit ottivat myös tarvittavat tiedot salauksen purkamiseen.
