每日最新頭條.有趣資訊

3.83億開房記錄被洩露後,萬豪又洩露用戶數據了

作者丨萬佳

不到兩年,萬豪酒店再次發生數據洩露。本周二,萬豪酒店表示,公司有近 520 萬房客的個人信息被洩露。上一次萬豪有 3.83 億人次詳細個人信息被洩露。

1

事件回顧

3 月 31 日,據 CNET 報導,萬豪酒店本周二宣布,該公司發生一起數據洩露事件,有近 520 萬房客個人信息被洩露。

這家酒店集團表示,洩露的個人信息可能包括姓名、地址、電子郵件、電話號碼和生日,還有忠實用戶账戶的詳細信息,比如房間偏好。據悉,萬豪酒店注意到,2 月底,有人在特許經營場所利用兩名員工的登錄憑據訪問了大量房客信息。

萬豪酒店聲稱,這起數據洩露事件正在調查,但不認為房客的信用卡號、護照信息或駕照號被洩露。目前,這家公司已經給受影響的房客發送通知郵件,並且為他們免費提供一年的個人信息監測。

對這家知名酒店集團而言,兩年不到,這是它發生的第二起重大安全事件。

2

上次更嚴重:索賠 125 億美元,被罰 1.24 億美元

2018 年 11 月,萬豪酒店宣布,旗下喜達屋酒店(Starwood Hotel)的一個顧客預訂數據庫被黑客入侵,可能有多達 5 億人次預訂喜達屋酒店客人的詳細個人信息被洩露。

據悉,黑客入侵最早從 2014 年就已經開始,但公司直到 2018 年 9 月才第一次收到警報。這次洩露的 5 億人次信息中,約 3.27 億人的洩露信息包括姓名、郵寄地址、電話號碼、電子郵件地址、護照號碼、SPG 俱樂部账戶信息、出生日期、性別、到達與離開信息、預訂日期和通信偏好。更嚴重的是,對某些客人而言,洩露信息還包括支付卡號和支付卡有效期,雖然它們已經加密,但無法排除該第三方已經掌握密鑰的可能性。

經過一段時間調查後,萬豪酒店將遭遇信息洩露的客戶數量修正為 3.83 億。

針對本次事件,阿里雲安全的一篇分析文章指出:酒店集團數據洩露一般有三大原因:一是未經授權的第三方組織竊取數據;二是特權账號被公開至 GitHub 導致洩露,開發人員將包含有數據庫账號和密碼的代碼上傳至 GitHub,被黑客掃描到以後進行了拖庫;三是 POS 機被惡意軟體感染,因 POS 機被植入惡意程序,導致支付卡信息被竊取。

此次數據洩露,萬豪酒店不僅引來訴訟,而且被政府監管部門重罰。訴訟上,美國 Geragos & Geragos 律師事務所律師本·梅塞拉斯和 Underdog Law 法律顧問邁克爾·富勒代表兩名原告大衛·約翰遜和克里斯·哈裡斯對萬豪酒店提起集體訴訟,索賠 125 億美元。

罰款上,英國數據隱私監管機構宣布,萬豪酒店集團因在 2014 年發生數據洩露將面臨近 9900 萬英鎊(大約 1.24 億美元)的罰款。因為它違反了歐盟 GDPR(通用數據保護條例)條例。GDPR 中存在明確規定,所有機構必須對所持有的個人數據負責,包括在合作或交易時需要進行適當的盡職調查,以及采取適當的措施評估已取得的個人數據,以及評估如何保護這些數據。個人數據有真正的價值,因此機構有法律責任確保其安全,就像處理任何其他資產一樣。

3

安全反思

近年來,隨著個人數據的價值越來越大,數據洩露頻繁發生,一些用戶數據的“窪地”成為黑客攻擊的主要目標,比如酒店。事實上,除了萬豪酒店,洲際、希爾頓、凱悅、文華東方和華住等酒店集團均遭遇過用戶數據洩露事件。

2014 和 2015 年:希爾頓酒店集團,洩露信息涉及超過 36 萬條支付卡數據;

2017 年 4 月:洲際酒店集團,數據洩露涉及超過全球 1000 家酒店;

2017 年 10 月:凱悅酒店集團,洩露數據涉及全球 41 家凱悅酒店;

2018 年 8 月:華住酒店集團,洩露 5 億條數據,並在暗網被售賣;

2018 年 10 月:麗笙(Radisson)酒店,具體洩露數據量未公布。

這些大型酒店集團一般分布廣,全球連鎖,擁有大量用戶,包括很多商務人士。這幾年,酒店已經成為黑客攻擊的重點目標之一。一旦成功竊取用戶數據,黑客就可以將數據掛在暗網售賣。

根據筆者統計,僅在 2020 年 1 月就發生兩起酒店數據洩露事件,分別是美國餐飲酒店公司 Landry 遭遇未經授權訪問洩露客戶支付卡數據,日本愛情酒店搜索引擎 HappyHotel 發生數據洩露事件。

酒店行業數據洩露事件的頻繁發生,不僅影響酒店的品牌聲譽,而且嚴重危害廣大用戶的個人信息安全。

4

如何保護用戶隱私安全?

無論是酒店,還是其他企業,保護用戶隱私安全都是重中之重。

如何保護用戶隱私安全?酒店可以從防丟失、防濫用、防篡改和防泄漏著手。

一是嚴控代碼,告訴所有開發人員,不允許將任何開發代碼上傳到第三方平台,已經上傳的代碼立即刪除;二是全業務滲透測試,啟動一次針對全業務的滲透,堵上可能存在威脅數據安全的漏洞;三是權限梳理,盡快完成對業務系統敏感數據、訪問人員和權限的梳理;四是數據加密,對梳理出來的敏感數據進行分類分級,確定哪些資料欄必須加密,利用第三方的透明加密系統、雲上的加密服務 / 密鑰管理服務逐步完成系統改造。

如果涉及數據庫安全,企業應當定期對數據庫進行風險評估。使用風險評估工具對數據庫進行近乎實時監視的企業,會在加密後的數據離開數據庫時更清楚地發現這一切。

數據庫安全保障的實操,我們建議:

更換端口:不使用默認端口雖然無法杜絕黑客的入侵,但可以相對增加入侵難度;

公網屏蔽:隻監聽內網端口屏蔽公網端口的請求,通過該策略繼續增加黑客的入侵難度;

使用普通用戶啟動:建議大家維護的所有 db 都使用禁止登錄的非 root 用戶啟動;

開啟驗證:這雖然是複雜、痛苦的一步,但卻是明智的選擇;

權限控制:建議大家針對自己維護的數據庫設置一套適合對應業務的權限控制、分配方案;

備份策略:一套可靠的本地備份邏輯 + 遠程備份存儲方案可以解決被黑、誤刪、機房漏水、伺服器報銷,甚至機房被核彈炸毀的場景;

恢復策略:建立一套能夠覆蓋多數災難場景的恢復策略來避免手忙腳亂是非常必要的;

敏感數據加密存儲:我們建議大家一定對任何敏感信息加密後再入庫,例如:密碼、郵箱、地址等等。

為你推薦

InfoQ Pro是 InfoQ 專為技術早期開拓者樂於鑽研的技術探險者打造的專業媒體服務平台。

獲得更多的PTT最新消息
按讚加入粉絲團