Booking.com Didenda Berikutan Serangan Vishing

13hb April 2021 | Blog

Mesej Ringkasan: Mengurus Pemberitahuan Pelanggaran anda semasa Pelanggaran ialah resipi untuk bencana.

Pada bulan Disember 2018, Booking.com telah mengalami pencerobohan, di mana syarikat tersebut telah dieksploitasi melalui serangan Vishing . Bagi mereka yang tidak tahu, Vishing ialah kaedah penggodaman di mana panggilan telefon dan mesej mel suara berpura-pura daripada syarikat yang bereputasi, meyakinkan pengguna untuk memberikan maklumat peribadi seperti maklumat perbankan, nombor kad kredit atau maklumat peribadi bukan awam yang lain . Ini serupa dengan pancingan data dan smishing tetapi menggunakan sistem telefon dan mel suara dan bukannya e-mel atau mesej teks. Apa yang menjadikan pelanggaran ini penting bukanlah pelanggaran itu sendiri tetapi denda berikutnya yang dikeluarkan oleh Pihak Berkuasa Perlindungan Data Belanda (DPA). Teruskan membaca untuk mengetahui mengapa denda dikenakan.

Bagaimana ia berlaku?

Menurut laporan itu, serangan itu dijalankan terhadap hotel-hotel di Emiriah Arab Bersatu (UAE), menggunakan helah kejuruteraan sosial melalui telefon. Penggodam menghubungi kakitangan di 40 hotel berbeza di rantau ini dan memujuk mereka untuk menyerahkan kelayakan log masuk untuk akaun hotel dalam sistem Booking.com.

Dengan bukti kelayakan yang dicuri ini, 'Vishers' mendapatkan semula data pada tempahan pelanggan 4109, termasuk nama, alamat dan nombor telefon pelanggan. Penjenayah juga mendapat data kad kredit daripada 283 tempahan tersebut. Penggodam malah mencuri 97 CVV (kod 3 digit di belakang kad) yang tidak boleh disimpan dalam mana-mana sistem elektronik!

Monique Verdier, timbalan pengerusi Pihak Berkuasa Perlindungan Data Belanda (DPA) menegaskan dalam laporan Pihak Berkuasa mengenai pelanggaran itu:

Dengan menyamar dalam e-mel atau melalui telefon sebagai kakitangan hotel, mereka cuba mencuri wang daripada orang ramai. Pendekatan sedemikian boleh kelihatan sangat boleh dipercayai jika penipu mengetahui dengan tepat bila anda membuat tempahan dan bilik yang anda tempah, kemudian meminta anda membayar untuk malam yang dipersoalkan. Jumlah wang yang besar boleh dicuri dengan cara ini.

Semua yang dibincangkan sehingga tahap ini dalam artikel ini menerangkan cara kebanyakan pelanggaran berlaku. Sangat sedikit syarikat yang dilanggar menerima denda kerajaan tambahan, jadi apa yang berlaku menyebabkannya di sini?

Pelanggaran Berlaku pada 2018

Pengawal selia DPA Belanda telah mendenda Booking.com hampir setengah juta Euro bukan kerana terdapat pelanggaran, tetapi kerana syarikat itu tidak melaporkan pelanggaran tersebut dengan cukup cepat :

Pihak Berkuasa Perlindungan Data Belanda (DPA) telah mengenakan denda €475,000 ke atas Booking.com kerana syarikat itu mengambil masa terlalu lama untuk melaporkan pelanggaran data kepada DPA. Apabila pelanggaran berlaku, penjenayah memperoleh data peribadi lebih 4,000 pelanggan. Mereka juga mendapatkan maklumat kad kredit hampir 300 orang.

Timeline

2018 Disember: Pelanggaran data bermula
13 Januari 2019: Booking.com menyedari kebocoran itu.
04 Februari 2019: Booking.com memaklumkan pelanggan yang terjejas.
07 Februari 2019: Booking.com memaklumkan Pihak Berkuasa Perlindungan Data.

Perniagaan EU mempunyai 72 jam untuk melaporkan pelanggaran dari masa mereka mengesahkan ia berlaku. Walaupun Booking.com mengetahui kebocoran telah berlaku pada 13 Januari, mereka mungkin tidak mengetahui tahap pelanggaran yang memerlukan pemberitahuan kerajaan. Walau bagaimanapun, pada Jan. pada masa Booking.com mengesahkan pelanggaran itu menjejaskan lebih daripada 500 rekod, mereka perlu memaklumkan DPA dalam masa 72 jam. Mereka gagal berbuat demikian, sebab itu mereka didenda dengan sangat berat.

Apakah Maksud Ini Untuk SMB Saya?

Pemberitahuan Pelanggaran

Berkenaan pemberitahuan pelanggaran, adalah sangat penting untuk memberitahu pengguna yang terjejas dan agensi yang berkenaan seperti DPA di Belanda dengan cepat. Sejak tahun 2002 terdapat banyak undang-undang privasi data yang digubal di seluruh dunia. AS mempunyai selimut undang-undang privasi data untuk setiap negeri, tetapi tiada undang-undang persekutuan yang berkuat kuasa. Dalam menyediakan proses pemberitahuan pelanggaran anda, jika anda menjalankan perniagaan di peringkat antarabangsa, anda perlu mempertimbangkan peraturan berikut:

Kesatuan Eropah Peraturan Perlindungan Data Am (GDPR)
Akta Perlindungan Pengguna California (2018)
Pindaan Privasi Australia (Pelanggaran Data Boleh Dimaklumkan) Akta 2017
Perlindungan Maklumat Peribadi dan Akta Dokumen Elektronik (PIPEDA)
Undang-undang Privasi Data Jerman Berbanding GDPR (BDSG)

Syor CyberHoot

CyberHoot mengesyorkan anda mengetahui undang-undang yang mempengaruhi syarikat anda dan anda menyediakan dokumen proses Pemberitahuan Pelanggaran yang mencerminkan undang-undang tersebut. Jangan lupa untuk menguji proses setiap tahun juga.

Selain mewujudkan proses pemberitahuan pelanggaran, terdapat banyak tindakan lain yang boleh diambil oleh syarikat anda untuk mengurangkan risiko pelanggaran. CyberHoot mengesyorkan langkah balas pelanggaran asas berikut:

Latih dan uji pekerja tentang cara mengesan dan mengelak Phishing, smishing, dan pengsan serangan;
Mentadbir pekerja dengan satu set dasar keselamatan siber yang mewujudkan keperluan keselamatan siber syarikat;
Menggaji prinsip keistimewaan sekurang-kurangnya dengan mengambil hak pentadbir daripada desktop dan komputer riba pengguna;
Gunakan pengurus kata laluan untuk meningkatkan kebersihan kata laluan pekerja;
Dayakan pengesahan dua faktor pada semua akaun kritikal (e-mel, bank, dll.); dan
Sahkan pemanggil ke dalam perniagaan anda apabila mereka membuat permintaan bernilai tinggi (meminta maklumat, menukar tempahan, mengecaj kad kredit dll). Syarikat yang mempunyai akses kepada nombor telefon mudah alih pelanggan harus menghantar kod pengesahan kepada setiap peminta perubahan.

Semua orang semakin dilanggar hari ini. Tidak semua orang didenda kerana tidak memberitahu pihak berkuasa yang sepatutnya dengan cepat. Cyberhoot mengesyorkan menonton dua video di bawah, untuk mengetahui cara mewujudkan Proses Pemberitahuan Pelanggaran untuk sebarang peraturan yang anda mesti patuhi.