Marriott Starwood databrud: hotelgiganten idømt en bøde på næsten 100 millioner pund for at have brudt privatlivets fred
Personlige oplysninger om 339 millioner kunder blev stjålet af hackere
2018 Getty Images
Hotelgiganten Marriott International har fået en bøde på næsten 100 millioner pund for et større cyberangreb, hvor hackeren fik adgang til kreditkortoplysninger, pasnumre og andre personlige data tilhørende i alt 339 millioner gæster.
UK Information Commissioner's Office (ICO) har beordret den amerikanske hotelgruppe til at udbetale 99,2 mio. GBP for at bryde EU's General Data Protection Regulation (GDPR), et sæt strenge love designet til at beskytte private brugeroplysninger.
Bruddet menes at dateres tilbage til op til fem år siden, men blev først opdaget i 2018 og offentliggjort i november BBC rapporter.
Informationskommissær Elizabeth Denham sagde, at GDPR-reglerne gør det klart, at organisationer skal være ansvarlige for de personlige data, de har.
Dette kan omfatte at udføre ordentlig due diligence, når du foretager et virksomhedskøb, og at indføre passende ansvarlighedsforanstaltninger for ikke kun at vurdere, hvilke personlige data der er blevet erhvervet, men hvordan de er beskyttet, sagde hun.
Marriott International agter at appellere afgørelsen.
Marriott har samarbejdet med ICO under hele sin efterforskning af hændelsen, som involverede et kriminelt angreb mod Starwood-gæstereservationsdatabasen, sagde virksomhedschef Arne Sorenson.
Hotelkæden er ikke den første store virksomhed, der er blevet ramt af EU's databeskyttelseslove.
Marriott-bøden kommer få dage efter, at ICO bekræftede planerne om bøder British Airways 183 millioner pund over et hack, der involverede persondata fra en halv million af flyselskabets kunder.
Hvad skete der?
Den 30. november meddelte Marriott International, at kunderegistre var blevet kompromitteret i, hvad der kan være et af de største databrud i historien. De første estimater anslår antallet af berørte kunder til op til 500 millioner, selvom antallet siden er faldet med omkring 100 millioner.
Virksomheden afslørede, at hackere fik adgang til gæstereservationsdatabasen for Starwood - en rivaliserende hotelgruppe, som Marriott købte for tre år siden - så tidligt som i 2014, BBC rapporter.
Marriott hævder, at det modtog en advarsel fra et internt sikkerhedsværktøj den 8. september, der advarede om et forsøg fra en uautoriseret part på at få adgang til Starwood-databasen i USA, siger The Guardian .
Denne opdagelse foranledigede yderligere undersøgelser, der afslørede den langsigtede uautoriserede adgang på tværs af netværket, som siden er blevet udfaset.
Hackeren kopierede og sikrede dataene med kryptering, hvilket gjorde det sværere for myndighederne at fastslå indholdet. Hotelkæden sagde, at dens efterforskere endelig var i stand til at dekryptere oplysningerne den 19. november.
Hvem stod bag angrebet?
En måned efter at angrebet blev afsløret, anklagede kilder, der blev orienteret om undersøgelsen, Kinas ministerium for statssikkerhed, et kommunistisk kontrolleret civilt spionagentur, for at orkestrere hacket som en del af en efterretningsindsamlingsindsats, New York Times rapporter.
Avisen siger, at spioner angiveligt hackede sundhedsforsikringer og sikkerhedsgodkendelsesfilerne for millioner af amerikanere, før de fik adgang til de personlige kunderegistre for den Marriott-ejede hotelgruppe.
Private efterforskere opdagede hacking-værktøjer, -teknikker og -procedurer, der tidligere blev brugt i cyberangreb knyttet til kinesiske agenturer, fortalte tre virksomhedsinsidere Reuters .
Men mens Kina er hovedmistænkt i sagen, advarede kilder om, at det var muligt, at en anden stod bag hacket, fordi andre parter havde adgang til de samme hackingværktøjer, rapporterer nyhedssiden.
Er du berørt?
I betragtning af den store mængde kundedata, der er hacket, er der stor mulighed for, at alle, der har boet på et Starwood-hotel i de seneste år, kan blive berørt af bruddet.
Starwoods britiske ejendomme omfatter Sheraton Grand Park Lane og Le Meridien Piccadilly i London, og Sheraton Grand i Edinburgh, The Guardian rapporter.
Marriott-gruppen lister kategorierne af data, der er eksponeret i lækagen som:
- Navne
- Postadresse
- Telefonnummer
- Email adresse
- Pasnummer
- Starwood Preferred Guest-kontooplysninger
- Fødselsdato
- Køn
- Ankomst og afrejse information
- Reservationsdato
- Kommunikationspræferencer
En kombination af kundedata blev lækket i de fleste tilfælde, ifølge virksomheden.
Kreditkortoplysningerne for et uspecificeret antal personer blev også stjålet, tilføjerBusiness Insider. Marriott siger, at disse filer var sikret med kryptering, men at det er muligt, at hackerne også tog den nødvendige information til at dekryptere dem.
