Booking.com multata dopo un attacco di vishing

Messaggio di riepilogo: Elaborare la notifica di violazione durante una violazione è la ricetta per un disastro.

Nel dicembre del 2018, Booking.com ha subito una violazione dei dati a causa di un attacco di vishing . Per chi non lo sapesse, il vishing è una tecnica di hacking che consiste nel ricevere chiamate telefoniche e messaggi vocali che si spacciano per comunicazioni di aziende affidabili, inducendo gli utenti a fornire informazioni personali come dati bancari, numeri di carta di credito o altre informazioni riservate . È simile al phishing e allo smishing , ma utilizza sistemi telefonici e messaggi vocali anziché email o SMS. L'importanza di questa violazione non risiede tanto nella violazione in sé, quanto nelle conseguenti sanzioni inflitte dall'Autorità olandese per la protezione dei dati (DPA). Continuate a leggere per scoprire i motivi di tali sanzioni.

Come è successo?

Secondo il rapporto, l'attacco è stato condotto contro hotel negli Emirati Arabi Uniti (EAU), utilizzando tecniche di ingegneria sociale al telefono. Gli hacker hanno chiamato il personale di 40 diversi hotel nella regione e li hanno convinti a fornire le credenziali di accesso agli account degli hotel nel sistema Booking.com.

Grazie a queste credenziali rubate, i "Visher" hanno recuperato i dati di 4109 prenotazioni, inclusi nomi, indirizzi e numeri di telefono. I criminali hanno anche ottenuto i dati delle carte di credito di 283 di queste prenotazioni. Gli hacker hanno persino rubato 97 CVV (codici a 3 cifre sul retro della carta) che non dovrebbero mai essere salvati in nessun sistema elettronico!

Monique Verdier, vicepresidente dell'Autorità olandese per la protezione dei dati (DPA), ha sottolineato nel rapporto dell'Autorità sulla violazione:

Fingendosi dipendenti dell'hotel nelle email o al telefono, hanno tentato di rubare denaro. Un simile approccio può sembrare altamente credibile se il truffatore sa esattamente quando hai effettuato una prenotazione e quale camera hai prenotato, e poi ti chiede di pagare per le notti in questione. In questo modo possono essere rubate ingenti somme di denaro.

Tutto quanto discusso finora in questo articolo spiega come si verificano la maggior parte delle violazioni. Pochissime aziende violate ricevono ulteriori sanzioni governative, quindi cosa è successo per causare tutto questo?

La violazione è avvenuta nel 2018

Le autorità olandesi preposte alla protezione dei dati personali hanno multato Booking.com per quasi mezzo milione di euro non perché ci sia stata una violazione dei dati, ma perché l'azienda non ha segnalato la violazione con sufficiente tempestività.

L'Autorità Garante per la Protezione dei Dati Personali (DPA) olandese ha imposto una multa di 475,000 euro a Booking.com perché l'azienda ha impiegato troppo tempo per segnalare una violazione dei dati all'Autorità. Quando si è verificata la violazione, i criminali hanno ottenuto i dati personali di oltre 4,000 clienti. Sono inoltre entrati in possesso dei dati delle carte di credito di quasi 300 persone.

timeline

• Dicembre 2018: Violazione dei dati avviata
• 13 gennaio 2019: Booking.com è venuta a conoscenza della fuga di notizie.
• 04 febbraio 2019: Booking.com ha informato i clienti interessati.
• 07 febbraio 2019: Booking.com ha informato l'Autorità Garante per la Protezione dei Dati Personali.

Le aziende dell'UE hanno 72 ore di tempo per segnalare una violazione dal momento in cui ne hanno confermato l'accaduto. Sebbene Booking.com fosse a conoscenza della fuga di notizie il 13 gennaio, potrebbe non averne conosciuto l'entità, il che avrebbe richiesto una notifica al governo. Tuttavia, a gennaio, quando Booking.com ha confermato che la violazione riguardava oltre 500 record, era tenuta a notificare l'Autorità Garante della Privacy entro 72 ore. Non lo ha fatto, ed è per questo che è stata multata così pesantemente.

Cosa significa questo per la mia PMI?

Notifiche di violazione

Per quanto riguarda la notifica delle violazioni, è estremamente importante informare tempestivamente gli utenti interessati e le autorità competenti, come l'Autorità per la protezione dei dati (DPA) in Olanda. Dal 2002 sono state emanate innumerevoli leggi sulla privacy dei dati in tutto il mondo. Gli Stati Uniti hanno un mosaico di leggi sulla privacy dei dati per ogni stato, ma nessuna legge federale in vigore. Nella preparazione del processo di notifica delle violazioni, se si opera a livello internazionale, è necessario considerare le seguenti normative:

• Dell'Unione Europea Regolamento generale sulla protezione dei dati (GDPR)
• Legge sulla protezione dei consumatori della California (2018)
• Emendamento sulla privacy dell'Australia Legge del 2017 sulle violazioni dei dati notificabili
• Legge sulla protezione dei dati personali e sui documenti elettronici (PIPEDA)
• La legge tedesca sulla privacy dei dati a confronto con il GDPR (BDSG)

Raccomandazioni CyberHoot

CyberHoot ti consiglia di conoscere le leggi che riguardano la tua azienda e di preparare un documento sulla procedura di notifica delle violazioni che le rispecchi. Non dimenticare di testare il processo anche annualmente. 

Oltre a stabilire una procedura di notifica delle violazioni, la tua azienda può adottare molte altre misure per ridurre il rischio di violazioni. CyberHoot raccomanda le seguenti contromisure di base:

• Formare e testare i dipendenti su come individuare ed evitare phishing, SMiShinge Vishing attacchi;
• Fornire ai dipendenti una serie di policy sulla sicurezza informatica che stabiliscano i requisiti aziendali in materia di sicurezza informatica;
• Impiegare il principio di minimo privilegio rimuovendo i diritti di amministratore dai desktop e dai laptop degli utenti;
• Adottare un gestore di password per migliorare l'igiene delle password dei dipendenti;
• Abilitare l'autenticazione a due fattori su tutti gli account critici (e-mail, banca, ecc.); e
• Autentica i chiamanti della tua azienda quando effettuano richieste di valore elevato (richiesta di informazioni, modifica di prenotazioni, addebito su carta di credito, ecc.). Le aziende con accesso ai numeri di cellulare dei clienti dovrebbero inviare un codice di autenticazione tramite SMS a ogni richiedente.

Al giorno d'oggi, tutti subiscono violazioni. Non tutti vengono multati per non aver avvisato le autorità competenti con sufficiente tempestività. Cyberhoot consiglia di guardare i due video qui sotto per imparare a stabilire una procedura di notifica delle violazioni per qualsiasi normativa a cui si debba ottemperare.

Panoramica di due (2) minuti

Panoramica di cinquanta (50) minuti di BN per GDPR

Fonti:

NakedSecurity – Sophos

Wikipedia – Leggi sulla notifica delle violazioni

Letture aggiuntive: 

Regolamentazioni come il CCPA non si fermano alla California