Marriott Starwood datalek: hotelgigant krijgt bijna £ 100 miljoen boete voor het overtreden van privacywetten
Persoonlijke gegevens van 339 miljoen klanten zijn gestolen door hackers
2018 Getty Images
Hotelgigant Marriott International heeft een boete van bijna £ 100 miljoen gekregen voor een grote cyberaanval waarbij een hacker toegang had tot creditcardgegevens, paspoortnummers en andere persoonlijke gegevens van in totaal 339 miljoen gasten.
Het Britse Information Commissioner's Office (ICO) heeft de Amerikaanse hotelgroep bevolen £ 99,2 miljoen uit te betalen voor het overtreden van de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie, een reeks strikte wetten die zijn ontworpen om persoonlijke gebruikersinformatie te beschermen.
De inbreuk zou tot vijf jaar geleden dateren, maar werd pas in 2018 ontdekt en in november openbaar gemaakt BBC rapporten.
Informatiecommissaris Elizabeth Denham zei dat de AVG-regels duidelijk maken dat organisaties verantwoordelijk moeten zijn voor de persoonlijke gegevens die ze bewaren.
Dit kan het uitvoeren van de juiste due diligence zijn bij het doen van een bedrijfsovername en het nemen van goede verantwoordingsmaatregelen om niet alleen te beoordelen welke persoonlijke gegevens zijn verkregen, maar ook hoe deze worden beschermd, zei ze.
Marriott International is van plan in beroep te gaan tegen de beslissing.
Marriott heeft tijdens het onderzoek naar het incident samengewerkt met de ICO, waarbij sprake was van een criminele aanval op de Starwood-database voor gastenreserveringen, zei Arne Sorenson, hoofd van het bedrijf.
De hotelketen is niet het eerste grote bedrijf dat wordt gestoken door de EU-wetgeving inzake gegevensprivacy.
De Marriott-boete komt dagen nadat de ICO de plannen voor een boete heeft bevestigd British Airways £ 183 miljoen voor een hack waarbij persoonlijke gegevens van een half miljoen klanten van de luchtvaartmaatschappij betrokken waren.
Wat is er gebeurd?
Op 30 november maakte Marriott International bekend dat de gegevens van klanten zijn gecompromitteerd in wat misschien wel een van de grootste datalekken in de geschiedenis is. Volgens de eerste schattingen bedroeg het aantal getroffen klanten 500 miljoen, hoewel het aantal sindsdien met ongeveer 100 miljoen is gedaald.
Het bedrijf onthulde dat hackers al in 2014 toegang hadden tot de gastenreserveringsdatabase van Starwood - een rivaliserende hotelgroep die Marriott drie jaar geleden overnam. BBC rapporten.
Marriott beweert op 8 september een waarschuwing te hebben ontvangen van een interne beveiligingstool die waarschuwde voor een poging van een niet-geautoriseerde partij om toegang te krijgen tot de Starwood-database in de VS. de bewaker .
Die ontdekking leidde tot verder onderzoek dat de langdurige ongeautoriseerde toegang via het netwerk aan het licht bracht, dat sindsdien is uitgefaseerd.
De hacker heeft de gegevens gekopieerd en beveiligd met encryptie, waardoor het moeilijker wordt voor autoriteiten om de inhoud te achterhalen. De hotelketen zei dat haar onderzoekers de informatie op 19 november eindelijk konden ontcijferen.
Wie zat er achter de aanval?
Een maand nadat de aanval werd onthuld, beschuldigden bronnen die over het onderzoek waren geïnformeerd, het Chinese ministerie van Staatsveiligheid, een door communisten gecontroleerde civiele spionagedienst, van het orkestreren van de hack als onderdeel van een inspanning om inlichtingen te verzamelen. The New York Times rapporten.
De krant zegt dat spionnen naar verluidt zorgverzekeraars hebben gehackt en de veiligheidsmachtigingsbestanden van nog eens miljoenen Amerikanen hebben gehackt voordat ze toegang kregen tot de persoonlijke klantengegevens van de hotelgroep die eigendom is van Marriott.
Privé-detectives ontdekten hacktools, -technieken en -procedures die eerder werden gebruikt bij cyberaanvallen in verband met Chinese agentschappen, vertelden drie insiders van het bedrijf. Reuters .
Hoewel China de hoofdverdachte in de zaak is, waarschuwden bronnen dat het mogelijk was dat iemand anders achter de hack zat, omdat andere partijen toegang hadden tot dezelfde hacktools, meldt de nieuwssite.
Ben je getroffen?
Gezien de enorme hoeveelheid gehackte klantgegevens, is de kans groot dat iedereen die de afgelopen jaren in een Starwood-hotel heeft verbleven, door de inbreuk wordt getroffen.
De Britse eigendommen van Starwood zijn onder meer het Sheraton Grand Park Lane en Le Meridien Piccadilly in Londen, en het Sheraton Grand in Edinburgh, de bewaker rapporten.
De Marriott-groep somt de categorieën gegevens op die in het lek zijn blootgelegd als:
- namen
- Postadres
- Telefoonnummer
- E-mailadres
- Paspoortnummer
- Starwood Preferred Guest-accountgegevens
- Geboortedatum
- Geslacht
- Aankomst- en vertrekinformatie
- Reserveringsdatum
- Communicatie voorkeuren
Volgens het bedrijf is in de meeste gevallen een combinatie van klantgegevens gelekt.
De creditcardgegevens van een niet-gespecificeerd aantal mensen werden ook gestolen, voegt toeBusiness insider. Marriott zegt dat deze bestanden zijn beveiligd met encryptie, maar dat het mogelijk is dat de hackers ook de benodigde informatie hebben verzameld om ze te decoderen.
