5億房客信息泄露，竟然過(guò)了4年才發(fā)現(xiàn)！萬(wàn)豪或面臨巨額罰款
繼華住集團(tuán)旗下連鎖酒店用戶信息被曝泄露后，又一家酒店巨頭萬(wàn)豪也攤上事兒了。萬(wàn)豪堪稱(chēng)“自曝型”選手。
萬(wàn)豪國(guó)際集團(tuán)11月30日發(fā)布公告稱(chēng)，旗下喜達(dá)屋酒店客房預(yù)訂數(shù)據(jù)庫(kù)遭黑客入侵，最多約5億名客人的信息可能被泄露。目前多國(guó)監(jiān)管部門(mén)已經(jīng)開(kāi)始著手就此事件進(jìn)行調(diào)查。
作為一家酒店遍布全球的大型集團(tuán)，客戶信息泄露事件讓萬(wàn)豪國(guó)際集團(tuán)站上風(fēng)口浪尖。美國(guó)上市的萬(wàn)豪國(guó)際周五大跌5.59%。
萬(wàn)豪國(guó)際集團(tuán)11月30日發(fā)布的公告稱(chēng)，該集團(tuán)內(nèi)部安全工具曾在9月8日發(fā)出警報(bào)，有第三方試圖訪問(wèn)喜達(dá)屋賓客預(yù)訂數(shù)據(jù)庫(kù)。經(jīng)過(guò)初步調(diào)查后，萬(wàn)豪國(guó)際集團(tuán)于11月19日確定，今年9月10日及之前喜達(dá)屋酒店預(yù)訂數(shù)據(jù)庫(kù)中的賓客信息曾在未經(jīng)授權(quán)的情況下被訪問(wèn)，最多可能涉及約5億名客人。其中3.27億人的信息包括，姓名、地址、電話、生日、護(hù)照號(hào)碼、預(yù)定日期等，甚至部分人的支付卡號(hào)和支付卡有效期等同時(shí)遭到泄露。
此次事件令人震驚的是，信息泄露最早始于2014年，但直到2018年9月8日，萬(wàn)豪國(guó)際集團(tuán)才收到內(nèi)部安全工具發(fā)出的警報(bào)。這導(dǎo)致2018年9月10日及之前喜達(dá)屋酒店預(yù)訂數(shù)據(jù)庫(kù)中的賓客信息可能遭泄露。
萬(wàn)豪國(guó)際集團(tuán)遭遇史上規(guī)模最大的黑客入侵
資料顯示，萬(wàn)豪國(guó)際集團(tuán)在2016年3月斥資136億美元收購(gòu)喜達(dá)屋酒店及度假酒店國(guó)際集團(tuán)，創(chuàng)造全球最大的連鎖酒店。合并后公司在全球擁有特許經(jīng)營(yíng)超過(guò)6700家酒店，客房總數(shù)達(dá)110萬(wàn)間。
萬(wàn)豪國(guó)際集團(tuán)稱(chēng)此次用戶數(shù)據(jù)泄露事件僅與喜達(dá)屋旗下的喜來(lái)登、威斯汀、瑞吉、W等酒店品牌有關(guān)，而其他不使用同一系統(tǒng)的酒店未受影響。萬(wàn)豪國(guó)際集團(tuán)首席執(zhí)行官蘇安勵(lì)稱(chēng)，他對(duì)此事件深表歉意，正在積極采取行動(dòng)，不遺余力地幫助受影響的賓客。目前，包括英國(guó)、美國(guó)在內(nèi)的多國(guó)監(jiān)管機(jī)構(gòu)已宣布計(jì)劃調(diào)查這起事件。
萬(wàn)豪方面還補(bǔ)充，可能泄露的還包括加密的信用卡信息，且不能排除加密密匙同時(shí)被盜的可能性。
萬(wàn)豪CEO阿恩·索倫森（Arne Sorenson）在聲明中表示，該集團(tuán)將向那些受到影響的客人發(fā)郵件。此外，為了向信息被泄露的客人提供更多信息，萬(wàn)豪已經(jīng)搭建了一個(gè)網(wǎng)站，還將向其在美國(guó)和其他一些國(guó)家和地區(qū)的客人提供為期一年的欺詐識(shí)別服務(wù)。
據(jù)NBC報(bào)道，此次萬(wàn)豪遭遇的數(shù)據(jù)泄露可能是史上規(guī)模最大的黑客入侵之一。
萬(wàn)豪聲明
萬(wàn)豪網(wǎng)絡(luò)安全受質(zhì)疑
然客戶信息泄露丑聞讓萬(wàn)豪股票大跌超5%，但分析師似乎最初并不關(guān)心財(cái)務(wù)影響："對(duì)品牌潛在影響的不確定性可能會(huì)對(duì)今天的交易情緒造成壓力，"RBC Capital Markets的Wes Golladay當(dāng)?shù)貢r(shí)間周五在一份分析師聲明中寫(xiě)道。然而，"就像其他公司已經(jīng)解決了的大數(shù)據(jù)泄露問(wèn)題一樣，我們希望（萬(wàn)豪）也已經(jīng)做到了"他說(shuō)。
在一份8K報(bào)告文件中，萬(wàn)豪表示其有購(gòu)買(mǎi)網(wǎng)絡(luò)保險(xiǎn)。該公司表示正在調(diào)查該保險(xiǎn)在這起事件里面覆蓋到什么范圍。但在大多數(shù)情況下，保險(xiǎn)大大抵消了這類(lèi)入侵行為的成本。
萬(wàn)豪表示，這起事件的大部分細(xì)節(jié)尚不清楚，并有待調(diào)查。該公司表示正在調(diào)查網(wǎng)絡(luò)攻擊的各個(gè)方面，包括它是如何發(fā)生的，是否訪問(wèn)了未加密的支付數(shù)據(jù)，或者為什么在2014年入侵開(kāi)始時(shí)安保程序沒(méi)有被激活，以及其他細(xì)節(jié)。
由于黑客開(kāi)始入侵的時(shí)間在萬(wàn)豪收購(gòu)喜達(dá)屋之前，有輿論質(zhì)疑萬(wàn)豪在與競(jìng)爭(zhēng)對(duì)手喜達(dá)屋的合并之前是如何進(jìn)行網(wǎng)絡(luò)安全盡職調(diào)查。
以信息數(shù)量衡量，喜達(dá)屋酒店本次數(shù)據(jù)泄露事件僅次于2013年雅虎30億賬戶遭竊。當(dāng)時(shí)雅虎承擔(dān)的訴訟成本超過(guò)4700萬(wàn)美元。萬(wàn)豪表示，現(xiàn)在估計(jì)此次黑客攻擊造成的財(cái)務(wù)損失還“為時(shí)過(guò)早”，該集團(tuán)的網(wǎng)絡(luò)保險(xiǎn)可以支付部分費(fèi)用，這起事件不會(huì)影響其長(zhǎng)期財(cái)務(wù)健康。
我們應(yīng)該怎么辦？
對(duì)于萬(wàn)豪客戶，最關(guān)心的就是自己的信息是否被泄露？哪些信息被泄露？應(yīng)該采取哪些補(bǔ)救措施？對(duì)此萬(wàn)豪也作出了解答。
·我的信息是否泄露？
如果您在2018年9月10日或之前曾經(jīng)預(yù)訂喜達(dá)屋酒店，您提供的數(shù)據(jù)可能受到影響。
·哪些信息被泄露？
從喜達(dá)屋賓客預(yù)訂數(shù)據(jù)庫(kù)中拷貝的數(shù)據(jù)包含在喜達(dá)屋酒店預(yù)訂房間的客人的信息，包含姓名、郵寄地址、電話號(hào)碼、電郵地址、護(hù)照號(hào)碼、SPG 俱樂(lè)部會(huì)員賬戶資料、出生日期、性別、入住和退房信息、預(yù)訂日期及通訊偏好等信息。
信息的組合視每位賓客的情況不同。對(duì)于某些客人而言，信息還包括支付卡號(hào)和支付卡有效期，但支付卡號(hào)已通過(guò)高級(jí)加密標(biāo)準(zhǔn)（AES-128）加密。解密支付卡號(hào)碼需要解鎖兩項(xiàng)密鑰，目前萬(wàn)豪國(guó)際無(wú)法排除該第三方是否已經(jīng)掌握這兩項(xiàng)密鑰。
·哪些酒店可能受影響？
喜達(dá)屋旗下品牌包括： W酒店、瑞吉酒店、喜來(lái)登酒店及度假村、威斯汀酒店及度假村、源宿酒店、雅樂(lè)軒酒店、豪華精選酒店、臻品之選酒店、艾美酒店及度假村、福朋喜來(lái)登酒店及設(shè)計(jì)酒店。喜達(dá)屋分時(shí)度假酒店也包含在內(nèi)。
·有多少人受到影響？
目前，萬(wàn)豪國(guó)際尚未完成對(duì)數(shù)據(jù)庫(kù)中重復(fù)信息的識(shí)別，但相信數(shù)據(jù)庫(kù)中包含曾在喜達(dá)屋酒店預(yù)訂的最多約5億名賓客的信息。
·電郵通知
2018年11月30日起，若受影響客人的電子郵件地址已在喜達(dá)屋客人預(yù)訂數(shù)據(jù)庫(kù)中，萬(wàn)豪國(guó)際將陸續(xù)向其發(fā)送電子郵件通知。
·專(zhuān)用電話服務(wù)中心
萬(wàn)豪國(guó)際已設(shè)立了專(zhuān)門(mén)的電話服務(wù)中心（中國(guó)：400-120-0845），以解答您對(duì)此事件的疑問(wèn)。
萬(wàn)豪提醒客戶：
1.定期更改密碼。避免使用容易猜到的密碼。避免不同賬戶使用相同密碼。
2.查閱您的銀行卡賬戶結(jié)算單，留意是否有任何未經(jīng)授權(quán)的交易，一旦發(fā)現(xiàn)，立即通知發(fā)卡銀行。
3.對(duì)于企圖通過(guò)網(wǎng)絡(luò)欺詐（一般稱(chēng)為“網(wǎng)絡(luò)釣魚(yú)”）收集數(shù)據(jù)的第三方（包括使用虛假網(wǎng)站鏈接），要保持警惕。萬(wàn)豪國(guó)際不會(huì)通過(guò)電話或電郵要求您提供密碼。
4.如您認(rèn)為自己的身份被盜用，或個(gè)人資料被濫用，應(yīng)立即聯(lián)絡(luò)您所在國(guó)家的數(shù)據(jù)保護(hù)機(jī)構(gòu)或當(dāng)?shù)貓?zhí)法部門(mén)。
近年多起信息泄漏
其實(shí)在大數(shù)據(jù)泄漏，網(wǎng)絡(luò)安全事件層出不窮，酒店業(yè)界數(shù)據(jù)泄漏事件也很多次了。
早在2013年，華住旗下漢庭等經(jīng)濟(jì)型酒店便被曝出過(guò)2000 萬(wàn)條開(kāi)房記錄被泄露，原因是消費(fèi)者連接酒店Wi-Fi上網(wǎng)提交用戶記錄進(jìn)行網(wǎng)頁(yè)認(rèn)證時(shí)，被為酒店提供服務(wù)器的公司第三方服務(wù)器實(shí)時(shí)存儲(chǔ)，并因系統(tǒng)漏洞被黑客攻擊，最終導(dǎo)致信息泄露。
就在前段時(shí)間，華住集團(tuán)旗下連鎖酒店用戶信息被曝疑似泄露，包括華住官網(wǎng)注冊(cè)資料、酒店入住登記的身份信息及酒店開(kāi)房記錄，住客姓名、手機(jī)號(hào)、郵箱、身份證號(hào)、登錄賬號(hào)密碼等，共約5 億條數(shù)據(jù)，其中有1.3 億人的身份證信息和2.4 億條開(kāi)房記錄。
11月初，麗笙酒店發(fā)布公告，稱(chēng)會(huì)員信息疑似泄露。據(jù)估算，至少有10%的麗笙獎(jiǎng)勵(lì)計(jì)劃會(huì)員受到影響。
據(jù)報(bào)道，數(shù)年前，烏云報(bào)告稱(chēng)，如家、咸陽(yáng)國(guó)貿(mào)、杭州維景國(guó)際和驛家365快捷等全部或者部分使用了浙江慧達(dá)驛站網(wǎng)絡(luò)有限公司開(kāi)發(fā)的酒店Wifi管理、認(rèn)證管理系統(tǒng)。而浙江慧達(dá)在服務(wù)器上實(shí)時(shí)存儲(chǔ)了這些酒店客戶的記錄，包括客戶名、身份證號(hào)、開(kāi)房日期和房間號(hào)等隱私信息。而浙江慧達(dá)系統(tǒng)上存在的漏洞使這些信息有被泄露的風(fēng)險(xiǎn)?；圻_(dá)驛站的無(wú)線門(mén)戶系統(tǒng)存在信息安全加密等級(jí)較低問(wèn)題，有信息泄漏的安全隱患。
目前完好已開(kāi)始向包括美國(guó)、加拿大和英國(guó)在內(nèi)的房客通報(bào)了此次數(shù)據(jù)入侵事件。
鑒于這一數(shù)據(jù)入侵事件屬于歐盟GDPR法規(guī)的管轄范疇，如果喜達(dá)屋被發(fā)現(xiàn)違反了GDPR法規(guī)，那么它可能面臨高達(dá)其全球年收入4%的巨額罰款。
