Le Marriott subit une deuxième infraction, exposant les données de 5,2 millions de clients de l’hôtel

La chaîne hôtelière internationale Marriott a révélé aujourd’hui une violation de données qui a touché près de 5,2 millions de clients de l’hôtel, ce qui en fait le deuxième incident de sécurité à frapper l’entreprise ces dernières années.

« Fin février 2020, nous avons découvert qu’une quantité inattendue d’informations sur les invités avait pu être consultée en utilisant les identifiants de connexion de deux employés d’une franchise », a déclaré M. Marriott dans un communiqué de presse. déclaration.

« Nous pensons que cette activité a commencé à la mi-janvier 2020. Dès la découverte, nous avons confirmé que les identifiants de connexion étaient désactivés, nous avons immédiatement commencé une enquête, mis en place une surveillance accrue et organisé des ressources pour informer et aider les clients ».

L’incident a mis à jour les informations personnelles des clients telles que les coordonnées (nom, adresse postale, adresse électronique et numéro de téléphone), les informations relatives au compte de fidélité (numéro de compte et solde de points) et des informations supplémentaires telles que la société, le sexe, les dates de naissance, les préférences en matière de chambre et de langue.

Le géant de l’hôtellerie a déclaré qu’une enquête sur la violation était en cours, mais qu’il n’y avait aucune preuve que les mots de passe ou les codes PIN des comptes Marriott Bonvoy, les informations des cartes de paiement, les informations des passeports, les cartes d’identité nationales ou les numéros de permis de conduire aient été compromis.

Le Marriott a également mis en place un portail en ligne en libre-service pour que les invités puissent vérifier si leurs données personnelles ont été impliquées dans la violation et quelles catégories d’informations ont été exposées. En outre, elle offre aux utilisateurs concernés la possibilité de s’inscrire gratuitement pendant un an à IdentityWorks, un service de surveillance des informations personnelles.

L’entreprise a déjà pris la mesure de désactiver les mots de passe des membres de Marriott Bonvoy dont les informations ont été potentiellement exposées lors de l’incident, et ils seront avertis de changer leurs mots de passe lors de la prochaine connexion, ainsi que d’activer l’authentification multi-facteurs.

L’incident fait suite à un compromis de 2014 de Réservation de chambres d’hôtel Starwood Hotels qui a été acquise par Marriott en 2016. La brèche, qui a révélé les données personnelles de plus de 339 millions d’invités dans le monde, n’a été détectée qu’en novembre 2018, ce qui a entraîné le paiement d’une amende de une amende de 99 millions de livres sterling (123 millions de dollars) au bureau du commissaire à l’information de l’autorité britannique de régulation de la protection des données, en vertu des lois GDPR.

« Les types d’informations divulguées dans la dernière brèche du Marriott peuvent sembler inoffensives, mais c’est précisément ce type de renseignements qui permet aux acteurs de la menace de mieux cibler les attaques sur les consommateurs », a déclaré Gerrit Lansing, le directeur technique de STEALTHbits à The Hacker News par e-mail aujourd’hui.

« Simplement : plus j’en sais sur vous, plus j’ai de chances de vous tromper. Les justificatifs d’identité compromis restent l’un des principaux vecteurs de ce type de compromis, et l’authentification forte avant d’accéder à des informations sensibles est l’une des meilleures défenses ».