Час читання: 5 протокол
Витоки даних все частіше трапляються у фірмових компаніях, і це, безперечно, викликає занепокоєння. Мільйони клієнтів у всьому світі зазвичай страждають від цих інцидентів, і найчастіше відбувається витік конфіденційної ідентифікації та фінансових даних.
Тепер остання велика історія витоку даних стосується Marriott, дуже великої міжнародної мережі готелів. Зламані дані стосуються людей, які зупинялися в готелі Starwood Hotels and Resorts принаймні один раз у період з 2014 року (приблизну дату не вказано) до 10 вересня 2018 року. Якщо ви не зупинялися в готелі під брендом Marriott протягом цього періоду часу, є все ще привід для вас хвилюватися. Мережа Starwood Hotels and Resorts включає W Hotels, St. Regis, Sheraton Hotels & Resorts, Westin Hotels & Resorts, Element Hotels, Aloft Hotels, The Luxury Collection, Tribute Portfolio, Le Méridien Hotels & Resorts, Four Points by Sheraton та дизайн-готелі. Цікаво, що незважаючи на те, що прес-реліз, у якому повідомляється про порушення, написано під назвою Marriott International, дані Marriott не були залучені до цього порушення, оскільки бази даних бронювання Starwood і Marriott все ще окремі.
Велика кількість міжнародних об’єктів і брендів є результатом постійних корпоративних злиттів протягом останніх кількох десятиліть. Зовсім нещодавно 23 вересня 2016 року було схвалено злиття Marriott International і Starwood. Я знаю, що кілька з цих готелів знаходяться в моєму рідному місті Торонто, а також у містах і великих містах по всій Америці, Європі та Азії. , Африка, Океанія та Близький Схід. Загалом є тисячі об’єктів у 130 країнах. Якщо ви зупинялися в гарному готелі протягом останніх кількох років, є шанс, що це порушення вплинуло на вас.
Marriott International повідомила про порушення в a прес-реліз 30 листопада. Це пояснює:
«Marriott цінує наших гостей і розуміє важливість захисту особистої інформації. Ми вжили заходів для розслідування та усунення інциденту безпеки даних, пов’язаного з базою даних бронювання гостей Starwood. Розслідування встановило, що був несанкціонований доступ до бази даних, яка містила інформацію про гостей, пов’язану з бронюванням об’єктів Starwood 10 вересня 2018 року або раніше. У цьому повідомленні пояснюється, що сталося, заходи, які ми вжили, і деякі кроки, які ви можете зробити у відповідь .
8 вересня 2018 року Marriott отримав сповіщення від внутрішнього інструменту безпеки щодо спроби отримати доступ до бази даних бронювання гостей Starwood. Компанія Marriott швидко залучила провідних експертів з безпеки, щоб допомогти визначити, що сталося. Під час розслідування Marriott дізнався, що з 2014 року був несанкціонований доступ до мережі Starwood. Marriott нещодавно виявив, що неавторизована сторона скопіювала та зашифрувала інформацію, і вжив заходів для її видалення. 19 листопада 2018 року компанія Marriott змогла розшифрувати інформацію та визначила, що вміст був із бази даних бронювання гостей Starwood».
Скільки клієнтів постраждало від порушення?
«Marriott ще не завершив ідентифікацію дублікатів інформації в базі даних, але вважає, що вона містить інформацію приблизно про 500 мільйонів гостей, які зробили бронювання в готелі Starwood. Приблизно для 327 мільйонів із цих гостей інформація включає певну комбінацію імені, поштової адреси, номера телефону, адреси електронної пошти, номера паспорта, інформації про обліковий запис Starwood Preferred Guest («SPG»), дати народження, статі, інформації про прибуття та від’їзд, дата бронювання та комунікаційні уподобання. Для деяких інформація також містить номери платіжних карток і терміни дії платіжних карток, але номери платіжних карток були зашифровані за допомогою шифрування Advanced Encryption Standard (AES-128). Є два компоненти, необхідні для розшифровки номерів платіжних карток, і на даний момент Marriott не може виключити можливість того, що обидва були використані. Для решти гостей інформація була обмежена іменами та іноді іншими даними, такими як поштова адреса, адреса електронної пошти або інша обмежена інформація».
Ого. Таким чином постраждали принаймні кілька сотень мільйонів людей. Я сподіваюся, що з прогресом у розслідуванні інциденту з’являться більш конкретні цифри.
Я радий, що Marriott International повідомила про порушення менше ніж через кілька місяців після того, як вони його виявили, це краще, ніж те, що зробили багато великих корпорацій у відповідь на свої порушення даних. Я також радий, що вони, здається, надають стільки інформації, скільки можуть. І це приблизно стільки приємних речей, скільки я можу сказати з цього приводу.
Ось моя критика. Пролом виявили на початку вересня. Неминуче багато клієнтів, яких це стосується, є громадянами та резидентами країн Європейського Союзу. Загальний регламент ЄС щодо захисту даних набув чинності в травні минулого року, і закон поширюється на дані цих клієнтів, навіть якщо вони зупинялися в готелі за межами Європи. Відповідно до GDPR, про порушення необхідно повідомляти протягом 72 годин після виявлення. Час, який Marriott International знадобився, щоб повідомити про це порушення, ймовірно, порушив GDPR. Оштрафують корпорацію чи ні, покаже час.
Закони про конфіденційність даних в інших країнах світу зазвичай не такі суворі, як GDPR. Я знаю, що канадський регламент PIPEDA не передбачає конкретних часових рамок для повідомлення про порушення! Але іноді GDPR допомагає жертвам витоку даних, які не з ЄС. Якщо порушення вплине на людей у всьому світі, як це порушення Starwood, той факт, що деякі клієнти є з ЄС, означає, що жертви порушень у всьому світі отримують вигоду від тиску, щоб повідомляти протягом 72 годин.
Тим не менш, Marriott International знадобилося майже три місяці після відкриття, щоб повідомити про це порушення.
Схоже, що Marriott International усунула причину злому 10 вересня, через кілька днів після виявлення. Але цей злом сягає аж 2014 року. Marriott каже, що якийсь інструмент безпеки допоміг їм виявити злом. Цей інструмент був запроваджений нещодавно? Чи донедавна в мережі Starwood були відсутні належні пристрої виявлення вторгнень, журналювання та SIEM? Така можливість мене непокоїть.
Це порушення стосується не лише клієнтів, які є учасниками програми Starwood Preferred Guest (SPG), а й клієнтів, які не є учасниками SPG. Якщо ви вважаєте, що можете стати жертвою цього порушення, ось що ви можете зробити.
Якщо у вас є обліковий запис SPG, якомога швидше змініть його пароль. Потім перевірте свій обліковий запис SPG на наявність підозрілої активності. Незалежно від того, чи є ви клієнтом SPG, подивіться на виписку з кредитної картки, якщо ви користувалися карткою в будь-якому з цих закладів Starwood. Якщо щось виглядає не так, якнайшвидше зателефонуйте у свій банк або до емітента кредитної картки. Подивіться, чи ви зламали дані через Чи я пірнув. Просто майте на увазі, що на вас все ще може вплинути порушення безпеки Marriott, навіть якщо ваші облікові записи не згадуються в базі даних сайту, а на сайті можуть згадуватися ваші дані, порушені через непов’язані випадки порушення даних. Якщо сумніваєтеся, не завадить змінити всі свої паролі для всього! Можливо, переконайтеся, що ви використовуєте авторитетний менеджер паролів, щоб ви могли використовувати багато складних паролів, не записуючи жодного з них на папері.
Суміжні ресурси
Сканер шкідливих програм для веб-сайтів
Повідомлення Злом даних Marriott – ви реєструєтесь, а ваша особиста інформація перевіряється вперше з'явився на Новини Comodo та інформація про безпеку в Інтернеті.
- &
- 10
- 2016
- a
- МЕНЮ
- доступ
- За
- рахунки
- діяльність
- адреса
- просунутий
- Африка
- ВСІ
- хоча
- Північної та Південної Америки
- з'явився
- приблизно
- навколо
- Азія
- Банк
- оскільки
- перед тим
- вважає,
- користь
- Краще
- між
- Великий даних
- Блокувати
- фірмова
- бренди
- порушення
- порушення
- call
- Викликати
- ланцюг
- зміна
- Перевірки
- Міста
- збір
- поєднання
- Приходити
- Комунікація
- Компанії
- комплекс
- Компоненти
- стурбований
- містить
- зміст
- Корпоративний
- КОРПОРАЦІЯ
- корпорації
- країни
- Пара
- кредит
- кредитна картка
- клієнт
- Клієнти
- дані
- Дані порушення
- конфіденційність даних
- захист даних
- безпеку даних
- Database
- базами даних
- Дати
- Днів
- дизайн
- Виявлення
- Визначати
- прилади
- DID
- відкрити
- відкритий
- відкриття
- дисплей
- Ні
- вниз
- під час
- Рано
- ефект
- шифрування
- EU
- Європа
- Європейська
- european union
- experts
- фінансовий
- фінансові дані
- Перший
- фіксованою
- FRAME
- від
- GDPR
- Стать
- Загальне
- Положення про захист персональних даних Загальні
- гість
- сталося
- допомога
- допоміг
- допомагає
- надія
- готель
- Як
- HTTPS
- Ідентифікація
- ідентифікує
- реалізовані
- значення
- includes
- зростаючий
- інформація
- інформація
- Міжнародне покриття
- інтернет
- Internet Security
- дослідити
- дослідження
- залучений
- IT
- тримати
- Знати
- великий
- більше
- останній
- закон
- Законодавство
- провідний
- вчений
- обмеженою
- подивитися
- made
- зробити
- шкідливих програм
- менеджер
- Матерія
- засоби
- заходи
- члени
- згаданий
- середній Схід
- мільйона
- мільйони
- mind
- місяців
- більше
- найбільш
- мережу
- новини
- номер
- номера
- постійний
- Інше
- Папір
- партія
- паспорт
- Пароль
- Паролі
- оплата
- Платіжна картка
- Люди
- може бути
- period
- персонал
- точка
- точок
- портфель
- можливість
- це можливо
- переважним
- press
- Прес-реліз
- тиск
- недоторканність приватного життя
- програма
- властивості
- власність
- захист
- забезпечення
- швидко
- отримано
- нещодавно
- про
- Регулювання
- звільнити
- решті
- видалення
- звітом
- бронювання
- відповідь
- безпеку
- кілька
- з
- сайт
- So
- деякі
- що в сім'ї щось
- конкретний
- standard
- заяви
- залишатися
- залишився
- Як і раніше
- Історія
- Команда
- закон
- світ
- речі
- тисячі
- три
- час
- інструмент
- Торонто
- до
- міста
- типово
- при
- розумієш
- союз
- використання
- жертви
- W
- годинник
- Що
- Чи
- ВООЗ
- в
- без
- світ
- світовий
- лист
- років
- вашу