Booking.com dostal pokutu za útok na Vishinga

13. dubna 2021 | Blog

Souhrnné sdělení: Vyřizování oznámení o narušení bezpečnosti během narušení bezpečnosti je receptem na katastrofu.

V prosinci 2018 došlo k narušení bezpečnosti Booking.com , kdy byla společnost zneužita prostřednictvím útoku Vishing . Pro ty, kteří to nevědí, Vishing je hackerská metoda, při které se telefonní hovory a hlasové zprávy vydávají za hovory od renomovaných společností a přesvědčují uživatele, aby poskytli osobní údaje, jako jsou bankovní informace, čísla kreditních karet nebo jiné neveřejné osobní údaje . Je to podobné phishingu a smishingu , ale místo e-mailů nebo textových zpráv se používají telefonní systémy a hlasová schránka. Důležitým faktorem tohoto narušení není samotné narušení, ale následné pokuty udělené nizozemským úřadem pro ochranu osobních údajů (DPA). Čtěte dále a dozvíte se, proč byly pokuty uloženy.

Jak se to stalo?

Podle zprávy byl útok proveden proti hotelům ve Spojených arabských emirátech (SAE) pomocí triků sociálního inženýrství přes telefon. Hackeři volali zaměstnancům 40 různých hotelů v regionu a přesvědčovali je, aby jim předali přihlašovací údaje k hotelovým účtům v systému Booking.com.

S těmito ukradenými přihlašovacími údaji získali „Visheři“ data o 4109 rezervacích zákazníků, včetně jmen, adres a telefonních čísel zákazníků. Zločinci se také zmocnili údajů o kreditních kartách z 283 z těchto rezervací. Hackeři dokonce ukradli 97 kódů CVV (třímístný kód na zadní straně karty), které by se nikdy neměly ukládat do žádného elektronického systému!

Monique Verdierová, místopředsedkyně nizozemského úřadu pro ochranu osobních údajů (DPA), ve zprávě úřadu o narušení bezpečnosti uvedla:

Tím, že se v e-mailech nebo telefonicky vydávali za hotelový personál, se pokoušeli od lidí ukrást peníze. Takový přístup se může zdát velmi důvěryhodný, pokud podvodník přesně ví, kdy jste provedli rezervaci a jaký pokoj jste si rezervovali, a poté vás požádá o úhradu za dané noci. Tímto způsobem lze ukrást velké částky peněz.

Vše, co bylo v tomto článku doposud probráno, vysvětluje, jak k většině porušení dochází. Jen velmi málo společností, které porušily pravidla, dostává další pokuty od vlády, takže co se stalo, že k tomu došlo?

K porušení došlo v roce 2018

Nizozemské regulační orgány pro ochranu osobních údajů (DPA) uložily společnosti Booking.com pokutu téměř půl milionu eur ne proto, že by došlo k porušení, ale proto, že společnost porušení dostatečně rychle nenahlásila :

Nizozemský úřad pro ochranu osobních údajů (DPA) uložil společnosti Booking.com pokutu ve výši 475 000 eur, protože společnost příliš dlouho čekala na nahlášení úniku dat úřadu. V době úniku se zločinci zmocnili osobních údajů více než 4 000 zákazníků. Dostali se také k informacím o kreditních kartách téměř 300 lidí.

Timeline

Prosince 2018: Zahájeno narušení dat
13 2019 ledna: Booking.com se o úniku informací dozvěděl.
04 2019 února: Booking.com informoval dotčené zákazníky.
07 2019 února: Booking.com informoval Úřad pro ochranu osobních údajů.

Firmy v EU mají 72 hodin na nahlášení úniku dat od okamžiku, kdy k němu potvrdily. Booking.com sice 13. ledna věděl o úniku dat, ale nemusel znát rozsah úniku, který by vyžadoval oznámení vládě. V lednu, v době, kdy Booking.com potvrdil únik dat, který se dotkl více než 500 záznamů, však musely do 72 hodin informovat úřad pro ochranu osobních údajů. Neučinily tak, a proto dostaly tak vysokou pokutu.

Co to znamená pro mou malou nebo střední firmu?

Oznámení o narušení

Pokud jde o oznamování narušení bezpečnosti, je nesmírně důležité co nejdříve informovat dotčené uživatele a příslušné orgány, jako je například holandský úřad pro ochranu osobních údajů (DPA). Od roku 2002 bylo po celém světě přijato nespočet zákonů na ochranu osobních údajů. USA mají pro každý stát různorodou škálu zákonů na ochranu osobních údajů, ale žádný federální zákon není v platnosti. Pokud podnikáte mezinárodně, budete muset při přípravě procesu oznamování narušení bezpečnosti zvážit následující předpisy:

Evropská unie Obecné nařízení o ochraně údajů (GDPR)
Kalifornský zákon o ochraně spotřebitele (2018)
Australský dodatek o ochraně osobních údajů Zákon (o narušení bezpečnosti dat s povinností hlášení) z roku 2017
Zákon o ochraně osobních údajů a elektronických dokumentech (PIPEDA)
Německý zákon o ochraně osobních údajů ve srovnání s GDPR (BDSG)

Doporučení CyberHootu

Společnost CyberHoot doporučuje, abyste se seznámili se zákony, které se týkají vaší společnosti, a připravili si dokument o procesu oznamování porušení, který tyto zákony odráží. Nezapomeňte také tento proces každoročně testovat.

Kromě zavedení procesu oznamování narušení bezpečnosti existuje mnoho dalších opatření, která může vaše společnost podniknout ke snížení rizika narušení bezpečnosti. CyberHoot doporučuje následující základní protiopatření proti narušení bezpečnosti:

Školte a testujte zaměstnance, jak je rozpoznat a jak se jim vyhnout Phishing, smishing, a mizející útoky;
Řídit zaměstnance souborem zásad kybernetické bezpečnosti, které stanoví požadavky společnosti na kybernetickou bezpečnost;
Zaměstnávejte nejméně privilegovaný odebráním administrátorských práv z uživatelských počítačů a notebooků;
Použijte správce hesel pro zlepšení hygieny hesel zaměstnanců;
Povolte dvoufaktorové ověřování na všech důležitých účtech (e-mail, bankovní účet atd.); a
Ověřujte volající ve vaší firmě, když zadávají důležité požadavky (žádost o informace, změnu rezervace, stržení platby z kreditní karty atd.). Společnosti s přístupem k mobilním telefonním číslům klientů by měly každému žadateli o změnu zaslat SMS s ověřovacím kódem.

V dnešní době se s porušením předpisů setkáváme všichni. Ne každý dostane pokutu za to, že dostatečně rychle neoznámí porušení příslušným orgánům. Cyberhoot doporučuje shlédnout dvě níže uvedená videa, kde se dozvíte, jak zavést proces oznamování porušení jakéhokoli předpisu, který musíte dodržovat.