La cadena de hoteles Marriott reveló  una brecha de datos masiva que expone la información personal y financiera de hasta quinientos millones de clientes que hicieron reservas en cualquiera de sus propiedades Starwood durante los últimos cuatro años. Según la información que se tiene hasta el momento, se cree que este incidente de seguridad podría pasar a ser la segunda brecha más más grande de la historia detrás del que sufrió Yahoo en 2013. La mayor brecha de seguridad desde que se hizo efecto el Reglamento General de Protección de Datos (GDPR)





Marriott dijo que la filtración implicaba el acceso no autorizado a una base de datos que contenía información de huéspedes vinculada a las reservas realizadas en las propiedades de Starwood hasta el 10 de septiembre de 2018 o antes, y que su investigación en curso sugiere que los autores habían estado dentro de las redes de la compañía desde 2014.

Marriott dijo que los intrusos cifraron la información de la base de datos pirateada (es probable que evite la detección por parte de cualquier herramienta de prevención de pérdida de datos al eliminar la información robada de la red de la empresa) y que sus esfuerzos por descifrar ese conjunto de datos aún no se habían completado. Pero hasta ahora la red del hotel cree que la memoria caché de datos encriptados incluye información de hasta aproximadamente 500 millones de huéspedes que hicieron una reserva en una propiedad de Starwood.



“Para aproximadamente 327 millones de estos invitados, la información incluye una combinación de nombre, dirección postal, número de teléfono, dirección de correo electrónico, número de pasaporte, información de la cuenta de Starwood Preferred Guest, fecha de nacimiento, sexo, información de llegada y salida, fecha de reserva y comunicación ", dijo Marriott en un comunicado publicado el viernes por la mañana.

Marriott agregó que los datos de la tarjeta de pago del cliente estaban protegidos por la tecnología de encriptación, pero que la compañía no podía descartar la posibilidad de que los atacantes también se hubieran alejado con las claves de encriptación necesarias para desencriptar los datos.

For approximately 327 million of these guests, the information includes some combination of name, mailing address, phone number, email address, passport number, Starwood Preferred Guest (“SPG”) account information, date of birth, gender, arrival and departure information, reservation date, and communication preferences.  For some, the information also includes payment card numbers and payment card expiration dates, but the payment card numbers were encrypted using Advanced Encryption Standard encryption (AES-128).  There are two components needed to decrypt the payment card numbers, and at this point, Marriott has not been able to rule out the possibility that both were taken.  For the remaining guests, the information was limited to name and sometimes other data such as mailing address, email address, or other information.

La cadena hotelera no dijo exactamente cuándo se pensó que comenzó el incumplimiento en 2014, pero vale la pena señalar que Starwood reveló su propio incumplimiento que involucró a más de 50 propiedades en noviembre de 2015, solo unos días después de ser adquirido por Marriott. Según la divulgación de Starwood en ese momento, esa brecha anterior se extendió por lo menos un año hasta noviembre de 2014.

En 2015, Starwood dijo que la intrusión involucraba software malicioso instalado en cajas registradoras en algunos de sus restaurantes, tiendas de regalos y otros sistemas de pago que no formaban parte de sus sistemas de reservas o membresía.

Las marcas de hoteles Starwood incluyen W Hotels, St. Regis, Sheraton Hotels & Resorts, Westin Hotels & Resorts, Element Hotels, Aloft Hotels, The Luxury Collection, Tribute Portfolio, Le Méridien Hotels & Resorts, Four Points by Sheraton y Design Hotels que participan en El programa Starwood Preferred Guest (SPG).

Marriott está ofreciendo a los huéspedes afectados en los Estados Unidos, Canadá y el Reino Unido un servicio gratuito por un año de parte de WebWatcher, una de varias compañías que anuncian la posibilidad de monitorear el crimen cibernético en busca de indicios de que la información personal del cliente se está intercambiando o vendiendo.

El incumplimiento anunciado hoy es solo el último de una larga serie de intrusiones relacionadas con datos de tarjetas de crédito robados de las principales cadenas hoteleras en los últimos cuatro años, y muchas cadenas experimentan múltiples incumplimientos. En octubre de 2017, Hyatt Hotels sufrió su segunda violación de tarjeta en la misma cantidad de años. En julio de 2017, la colección de Trump Hotel se vio afectada por la violación de la tercera tarjeta en dos años.

Otros incumplimientos revelado incluyen dos incidentes separados en los hoteles White Lodging; un incidente de 2015 relacionado con el malware de robo de tarjetas en las instalaciones de Mandarin Oriental; y una brecha de 2015 que afectó a las propiedades del hotel Hilton en los Estados Unidos.

Como parte de las medidas tomadas por Marriott, se creó un sitio web disponible en varios idiomas donde se detalla qué fue lo que sucedió y en el cual se incluye un apartado con las respuestas a las preguntas más frecuentes sobre el incidente. Además, se ofrece un centro de llamadas en varios idiomas y para varios países a donde podrán llamar para evacuar dudas.

• https://answers.kroll.com/es/index.html

Fuente:
https://krebsonsecurity.com/2018/11/marriott-data-on-500-million-guests-stolen-in-4-year-breach