Booking.com idømt bøde efter angreb fra Vishing

13. april 2021 | Blog

Sammenfattende besked: Det er en opskrift på katastrofe at udarbejde din brudnotifikation under et brud.

Tilbage i december 2018 oplevede Booking.com et databrud, hvor virksomheden blev udnyttet gennem et Vishing- angreb. For dem, der ikke ved det, er Vishing en hackingmetode, hvor telefonopkald og telefonsvarerbeskeder foregiver at være fra velrenommerede virksomheder og overtaler brugerne til at give personlige oplysninger såsom bankoplysninger, kreditkortnumre eller andre ikke-offentlige personlige oplysninger . Dette ligner phishing og smishing , men bruger telefonsystemer og telefonsvarerbeskeder i stedet for e-mail eller sms'er. Det, der gør dette brud vigtigt, er ikke selve bruddet, men de efterfølgende bøder udstedt af den hollandske databeskyttelsesmyndighed (DPA). Læs videre for at finde ud af, hvorfor bøderne blev pålagt.

Hvordan skete det?

Ifølge rapporten blev angrebet udført mod hoteller i De Forenede Arabiske Emirater (UAE) ved hjælp af social engineering- tricks over telefonen. Hackerne ringede til personalet på 40 forskellige hoteller i regionen og overtalte dem til at udlevere loginoplysninger til hotelkonti i Booking.com-systemet.

Med disse stjålne loginoplysninger fik 'Visherne' fat i data om 4109 kundebookinger, herunder kundernes navne, adresser og telefonnumre. De kriminelle fik også fat i kreditkortdata fra 283 af disse bookinger. Hackerne stjal endda 97 CVV'er (3-cifrede koder på bagsiden af kortet), som aldrig bør gemmes i noget elektronisk system!

Monique Verdier, næstformand for den hollandske databeskyttelsesmyndighed (DPA), påpegede i myndighedens rapport om bruddet:

Ved at udgive sig for at være hotelpersonale i e-mails eller over telefonen forsøgte de at stjæle penge fra folk. En sådan fremgangsmåde kan virke meget troværdig, hvis svindleren ved præcis, hvornår du foretog en booking, og hvilket værelse du bookede, og derefter beder dig om at betale for de pågældende nætter. Store pengebeløb kan blive stjålet på denne måde.

Alt, hvad der er diskuteret indtil nu i denne artikel, forklarer, hvordan de fleste brud på datasikkerheden opstår. Meget få virksomheder, der har begået brud på datasikkerheden, modtager yderligere bøder fra regeringen, så hvad er der sket, der forårsager det her?

Bruddet fandt sted i 2018

Hollandske databeskyttelsesmyndigheder idømte Booking.com en bøde på næsten en halv million euro, ikke fordi der var et brud på bruddet, men fordi virksomheden ikke rapporterede bruddet hurtigt nok :

Den hollandske databeskyttelsesmyndighed (DPA) har pålagt Booking.com en bøde på 475,000 euro, fordi virksomheden var for lang tid om at anmelde et databrud til DPA. Da bruddet fandt sted, fik kriminelle adgang til personoplysninger fra over 4,000 kunder. De fik også fat i kreditkortoplysninger fra næsten 300 personer.

Tidslinje

December 2018: Databrud startet
13 januar 2019: Booking.com blev opmærksom på lækagen.
04 februar 2019: Booking.com informerede de berørte kunder.
07 februar 2019: Booking.com har informeret Databeskyttelsesmyndigheden.

EU-virksomheder har 72 timer til at anmelde et brud fra det tidspunkt, de bekræftede, at det havde fundet sted. Selvom Booking.com vidste, at der var sket en lækage den 13. januar, vidste de muligvis ikke omfanget af bruddet, som ville kræve en anmeldelse til regeringen. Men i januar, på det tidspunkt hvor Booking.com bekræftede, at bruddet påvirkede mere end 500 registreringer, skulle de underrette databeskyttelsesmyndigheden inden for 72 timer. De undlod at gøre dette, hvilket er grunden til, at de blev idømt en så stor bøde.

Hvad betyder dette for min SMV?

Meddelelser om brud

Vedrørende anmeldelse af brud er det ekstremt vigtigt hurtigt at underrette de berørte brugere og relevante myndigheder som f.eks. databeskyttelsesmyndigheden i Holland. Siden 2002 er der blevet vedtaget utallige love om databeskyttelse over hele verden. USA har et kludetæppe af databeskyttelseslove for hver stat, men ingen gældende føderal lov. Når du forbereder din anmeldelsesproces for brud, skal du, hvis du driver forretning internationalt, overveje følgende regler:

Den Europæiske Union Generel databeskyttelsesforordning (BNPR)
Californiens forbrugerbeskyttelseslov (2018)
Australiens privatlivsændring Lov om anmeldelsespligtige databrud fra 2017
Lov om beskyttelse af personlige oplysninger og elektroniske dokumenter (PIPEDA)
Tysklands databeskyttelseslovgivning sammenlignet med GDPR (BDSG)

CyberHoot-anbefalinger

CyberHoot anbefaler, at du kender de love, der påvirker din virksomhed, og at du udarbejder et dokument om brudsmeddelelsesproces, der afspejler disse love. Glem ikke også at teste processen årligt.

Ud over at etablere en proces til anmeldelse af brud, er der mange andre handlinger, din virksomhed kan foretage for at reducere risikoen for et brud. CyberHoot anbefaler følgende grundlæggende modforanstaltninger mod brud:

Træn og test medarbejdere i, hvordan de kan opdage og undgå Phishing, smishingog vishing angreb;
Styr medarbejderne med et sæt cybersikkerhedspolitikker, der fastlægger virksomhedens cybersikkerhedskrav;
Ansæt den princippet om mindst privilegium ved at fjerne administratorrettigheder fra brugernes stationære og bærbare computere;
Indfør en adgangskodeadministrator for at forbedre medarbejdernes adgangskodehygiejne.
Aktivér tofaktorgodkendelse på alle kritiske konti (e-mail, bank osv.); og
Godkend opkaldere til din virksomhed, når de foretager anmodninger af høj værdi (anmodning om oplysninger, ændring af bookinger, opkrævning af kreditkort osv.). Virksomheder med adgang til kunders mobiltelefonnumre bør sende en sms med godkendelseskode til hver ændringsanmoder.

Alle bliver udsat for brud på deres datasikkerhed i disse dage. Ikke alle får bøder for ikke at underrette de rette myndigheder hurtigt nok. Cyberhoot anbefaler at se de to videoer nedenfor for at lære, hvordan man etablerer en proces til anmeldelse af brud på enhver regulering, man skal overholde.