Dados de 500 milhões de hóspedes da Marriot roubados 🕵️

Dados de 500 milhões de hóspedes da Marriot roubados 🕵️

Categoria : Segurança Visitas: 358 Tempo de Leitura: 6 Minutos

Na passada sexta-feira, a cadeia de hotéis Marriot revelou que um ataque cibernético em grande escala levou ao roubo de dados pessoais de 500 milhões de clientes. Este foi um dos maiores hacks de sempre, e que já estará a ser resolvido pela companhia hoteleira.

Nos dados roubados incluem-se: nome dos hóspedes, contacto de email e número de telefone, morada, número de passaporte, informações sobre as preferências, dados da conta, data de nascimento, género, informação sobre a chegada e a partida, data da reserva e preferências de meios de comunicação.

A Marriot confirmou que, no caso de alguns dos hóspedes, dados sobre pagamentos e números de cartões bancários, bem como datas de validade, também foram acedidos. Apesar de os números dos cartões de crédito serem encriptados usando um algoritmo conhecido como Advanced Encryption Standard (AES-128), que utiliza dois componentes para desencriptar esses dados de pagamento, a empresa adiantou que não consegue descartar a possibilidade de ambos terem sido roubados por hackers.

Dados de hóspedes foram roubados por hackers

As autoridades foram alertadas logo que houve conhecimento do roubo de informações do sistema de reservas Starwood, pois tais dados são uma mina de ouro para ladrões de identidade ou operações governamentais de vigilância.

Problemas legais em todo o mundo

Para quem acompanha a segurança digital do Marriot e da Starwood, este ataque não foi uma surpresa. Aparentemente, esta falha de segurança já terá quatro anos, e a cadeia de hotéis já foi atacada anteriormente – apesar de não ter reportado qualquer problema, houve uma infeção na própria equipa de resposta a incidentes deste tipo.

Um pouco por todo o mundo, este ataque por parte de hackers já está a levantar poeira legal – incluindo no gabinete do Procurador Geral de Nova Iorque, que já veio pedir esclarecimentos. Na Europa, os reguladores têm a possibilidade de aplicar multas pesadas às empresas, com o poder do Regime Geral de Proteção de Dados (RGPD), e já estão de olhos postos neste incidente.

Nos Estados Unidos, o senador Ron Wyden já afirmou que os reguladores americanos precisam de mais poder para multar as empresas que falhem na proteção de dados dos cidadãos. “Claramente, o sistema atual não está a funcionar. A Comissão Federal de Comércio precisa de poder real para punir as companhias que percam ou façam mau uso das informações privadas dos americanos. Até que as empresas como a Marriot sintam a ameaça de multas de muitos biliões de dólares, e prisão para quem desempenha altos cargos, estas empresas não vão levar a privacidade a sério”, disse.

Ataques não reportados

Em junho do ano passado, a equipa de segurança da Marriot foi atacada. O hack foi detetado e reportado por investigadores privados de cibersegurança, como foi avançado num tweet naquela altura.

De acordo com o que uma fonte próxima do processo contou à Forbes, o incidente ocorreu graças a um erro cometido por um fornecedor de cibersegurança subcontratado, que devia precisamente proteger a gigante hoteleira.

Hackers conseguiram aceder a cartões de crédito e passaportes

Ainda segundo a mesma fonte, esse vendedor era a SecureWorks, empresa que já pertenceu à Dell. Esta, no entanto, não quis comentar a matéria; a Marriot declinou o pedido para revelar o nome do fornecedor que colocou a privacidade e segurança de milhões de pessoas em causa.

Porém, a versão da cadeia de hotéis foi diferente da versão dessa fonte. O porta-voz da Marriot revelou à Forbes que a quebra surgiu do download de uma amostra de malware, feito por um analista contratado. O software malicioso acabou por ganhar acesso ao sistema interno de email. “A violação que aconteceu foi um incidente isolado envolvendo o computador de um analista, que tinha acesso web ao Outlook da Marriot, e que não estava conectado à rede geral da Marriot”, explicou.

Daniel Gallagher, um investigador independente nesta matéria, revelou esta falha de segurança em 2017 e contou à mesma publicação que descobriu o ataque depois de encontrar um servidor em que hackers nigerianos estavam a gerir uma empresa criminal.

A Marriot terá sido uma de muitas vítimas, afirmou Gallagher, e foi rápida a responder ao problema.

Botnets encontram quartos num hotel

A Starwood tem estado rodeada de pesadelos sobre segurança antes e depois de ser adquirida pela Marriot em 2016, de acordo com Alex Holden, fundador da Hold Security. Holden tem vindo a encontrar falhas em grandes empresas, e revelou capturas de écran onde se veem hackers a aceder aos portais corporativos da Starwood.

As imagens mostravam um painel de controlo usado por criminosos russos para correr uma rede de servidores alvo de ataques, conhecidos como botnets. Seis desses servidores alojavam vários domínios starwoodhotels.com.

Os botnets entraram no sistema de reservas da cadeia Marriot

“Este botnet em particular faz parte de uma rede muito ampla de botnets, que são operados por hackers russos. Esta interface controlo cerca de 1200 aparelhos infetados, que é uma pequena gota no oceano. Muitas gotas têm cerca de 10 mil sistemas que foram vítimas do ataque. O botnet está a roubar dezenas de gigas de informação dos sistemas atacados, que incluem ficheiros vitais e capturas de écran”, diz Holden.

Sabe-se para já que estes atacantes têm acesso aos computadores infetados, que permite aceder aos recursos da Starwood e dos dados dos funcionários. Mas Holden vai mais longe, ao afirmar que as passwords da cloud da empresa, a ServiceNow, eram facilmente descobertas.

Nesse portal, é possível aceder aos registos financeiros, controlo de segurança das IT e informações sobre reservas. Ainda em 2014, o ano em que o Marriot revelou que a rede da Starwood tinha sido hackeada, especialistas garantiam que havia uma séria vulnerabilidade no website da empresa. Conhecida como um bug de injeção de SQL, pode ter sido explorada para dar acesso às bases de dados.

Estas vulnerabilidades e até ofertas de trabalho para atacar a Starwood estavam a ser partilhadas entre hackers na dark web, nesse ano. Nessa mesma altura, o sistema de point-of-sale da empresa também foi alvo de um hack; porém, passou mais de um ano até que a companhia revelasse o que aconteceu.

Marriot paga novos passaportes

A Marriot ainda não se pronunciou sobre os detalhes de como é que a base de dados foi roubada. O ataque original ocorreu em 2014, mas não foi divulgado em que mês ou data teve lugar.

Respondendo a todas estas alegações por parte de Holden, o porta-voz da Marriot referiu à Forbes que “tudo o que aconteceu na rede da Starwood antes de setembro de 2016, quando concluímos a aquisição, não pode ser comentado”.

Este tipo de ameaça é o que a maior parte dos retalhistas, restaurantes e empresas de hotelaria enfrentam diariamente. Muitos destes problemas fogem ao controlo destas companhias, pois acontecem fora das redes internas. À parte do escrutínio dos reguladores, a Marriot já está a enfrentar ações judiciais em larga escala, como resultado desta falha de segurança. 

Entretanto, a hoteleira já afirmou que vai assumir os custos para fazer novos passaportes de todos os hóspedes que viram os seus dados roubados. Nos Estados Unidos da América, esse processo custa cerca de 110 euros.


Tags:
web
security
websecurity
cibersecurity
segurança
cibersegurança
marriot
hotel
reservas
hacker

Catarina Sousa's Posts

Catarina Sousa

A former journalist on newspapers and TV, now publicist and creative mind at her own agency. Passionate about writing, creating ads and watch Law & Order. Married, mom of two adorable cats.

Gostou do nosso Blog? Subscreva já!

Não se preocupe, nós tambem não gostamos de spam! Iremos apenas enviar os nossos artigos de Blog ou notícias importantes. Poderá ler a nossa Política de Privacidade e Termos e Condições, e poderá remover a sua subscrição a qualquer momento

Comentários

Artigos Relacionados

AMP WP e RGPD compromete sites em Wordpress 🖥️🔓
Categoria : Segurança  Catarina Sousa PostsCatarina Sousa
AMP WP e RGPD compromete sites em Wordpress 🖥️🔓

Duas vulnerabilidades encontradas no Wordpress, durante o mês de novembro, podem ter comprometido m...

2 semanas atrás | Visitas: 173 | Leitura: 4 Minutos

Ler mais..
Vende mobiliário? Conheça 5 truques infalíveis de marketing digital 🛋️🛌
Categoria : Marketing  Catarina Sousa PostsCatarina Sousa
Vende mobiliário? Conheça 5 truques infalíveis de marketing digital 🛋️🛌

Sim, o seu negócio de venda de móveis pode estar a correr bem, mas você nunca deve ser aquele tip...

3 semanas atrás | Visitas: 389 | Leitura: 5 Minutos

Ler mais..
Hey Google, será a voz o futuro da pesquisa? 🗣️
Categoria : Geral  Catarina Sousa PostsCatarina Sousa
Hey Google, será a voz o futuro da pesquisa? 🗣️

Imagine que está no seu escritório, a trabalhar num projeto, e pensa em comer qualquer coisa. Se e...

1 mês atrás | Visitas: 578 | Leitura: 4 Minutos

Ler mais..