Booking.com beboet na aanval met Vishing

13 april 2021 | Blog

Samenvattingsbericht: Het opstellen van uw melding van een inbreuk tijdens een inbreuk is een recept voor een ramp.

In december 2018 werd Booking.com getroffen door een datalek, waarbij het bedrijf het slachtoffer werd van een vishing- aanval. Voor wie het niet kent: vishing is een hackmethode waarbij telefoontjes en voicemailberichten afkomstig lijken te zijn van betrouwbare bedrijven, met als doel gebruikers te verleiden persoonlijke informatie te verstrekken, zoals bankgegevens, creditcardnummers of andere vertrouwelijke persoonlijke gegevens . Dit is vergelijkbaar met phishing en smishing , maar maakt gebruik van telefoonsystemen en voicemail in plaats van e-mail of sms-berichten. Wat dit datalek zo belangrijk maakt, is niet zozeer het datalek zelf, maar de daaropvolgende boetes die de Nederlandse Autoriteit Persoonsgegevens (AP) heeft opgelegd. Lees verder om te ontdekken waarom deze boetes zijn opgelegd.

Hoe is het gebeurd?

Volgens het rapport was de aanval gericht tegen hotels in de Verenigde Arabische Emiraten (VAE), waarbij gebruik werd gemaakt van social engineering- trucs via de telefoon. De hackers belden medewerkers van 40 verschillende hotels in de regio en haalden hen over om inloggegevens voor hotelaccounts in het Booking.com-systeem te verstrekken.

Met deze gestolen inloggegevens haalden de 'Vishers' gegevens op van 4109 klantboekingen, waaronder namen, adressen en telefoonnummers van klanten. De criminelen kregen ook de creditcardgegevens van 283 van die boekingen in handen. Hackers stalen zelfs 97 CVV's (driecijferige code op de achterkant van de kaart) die nooit in een elektronisch systeem mogen worden opgeslagen!

Monique Verdier, vicevoorzitter van de Autoriteit Persoonsgegevens (AP), merkte in het rapport van de Autoriteit over de inbreuk op:

Door zich in e-mails of aan de telefoon voor te doen als hotelpersoneel, probeerden ze geld van mensen te stelen. Zo'n aanpak kan zeer geloofwaardig overkomen als de fraudeur precies weet wanneer je een boeking hebt gemaakt en welke kamer je hebt geboekt, en je vervolgens vraagt om de betreffende nachten te betalen. Op deze manier kunnen grote bedragen worden gestolen.

Alles wat tot nu toe in dit artikel is besproken, verklaart hoe de meeste inbreuken plaatsvinden. Slechts weinig bedrijven die een inbreuk hebben gepleegd, krijgen extra overheidsboetes, dus wat is hier de oorzaak van?

De inbreuk vond plaats in 2018

De Nederlandse gegevensbeschermingsautoriteit heeft Booking.com een boete van bijna een half miljoen euro opgelegd , niet omdat er sprake was van een datalek, maar omdat het bedrijf het lek niet snel genoeg had gemeld.

De Autoriteit Persoonsgegevens (AP) heeft Booking.com een boete van € 475,000 opgelegd omdat het bedrijf te lang heeft gewacht met het melden van een datalek aan de AP. Criminelen hebben bij het lek de persoonsgegevens van meer dan 4,000 klanten buitgemaakt. Ook hebben ze de creditcardgegevens van bijna 300 mensen in handen gekregen.

Timeline

December 2018: Datalek gestart
13 januari 2019: Booking.com kreeg weet van het lek.
04 februari 2019: Booking.com heeft de gedupeerde klanten geïnformeerd.
07 februari 2019: Booking.com heeft de Gegevensbeschermingsautoriteit op de hoogte gesteld.

Bedrijven in de EU hebben 72 uur de tijd om een inbreuk te melden vanaf het moment dat ze deze bevestigden. Hoewel Booking.com al op 13 januari wist dat er een lek was, wisten ze mogelijk niet hoe groot de omvang van de inbreuk was, waardoor een melding bij de overheid vereist was. Toen Booking.com echter in januari bevestigde dat de inbreuk meer dan 500 records had getroffen, moesten ze de DPA binnen 72 uur op de hoogte stellen. Ze deden dit niet, wat de reden was dat ze zo'n hoge boete kregen.

Wat betekent dit voor mijn MKB-bedrijf?

Meldingen van inbreuken

Wat betreft het melden van inbreuken, is het uiterst belangrijk om de getroffen gebruikers en bevoegde instanties, zoals de DPA in Nederland, snel op de hoogte te stellen. Sinds 2002 zijn er wereldwijd talloze wetten inzake gegevensbescherming aangenomen. De VS kent een lappendeken aan wetten inzake gegevensbescherming per staat, maar er is geen federale wet van kracht. Als u internationaal zaken doet, moet u bij het voorbereiden van uw meldingsproces rekening houden met de volgende regelgeving:

Europese Unie's Algemene Verordening Gegevensbescherming (GDPR)
Californische consumentenbeschermingswet (2018)
Australië's Privacy Amendement Wet (Meldingsplichtige datalekken) van 2017
Bescherming van persoonlijke informatie en elektronische documenten (PIPEDA)
De Duitse wet op gegevensbescherming vergeleken met de AVG (BDSG)

CyberHoot-aanbevelingen

CyberHoot raadt u aan de wetgeving die van toepassing is op uw bedrijf te kennen en een document op te stellen waarin de meldingsprocedure voor inbreuken wordt beschreven. Vergeet ook niet om het proces jaarlijks te testen.

Naast het opzetten van een meldprocedure voor datalekken, zijn er nog veel meer maatregelen die uw bedrijf kan nemen om het risico op een datalek te verkleinen. CyberHoot beveelt de volgende basismaatregelen tegen datalekken aan:

Train en test medewerkers in het herkennen en vermijden van gevaarlijke situaties Phishing, smishingen visen aanvallen;
Geef leiding aan werknemers met een reeks cyberbeveiligingsbeleid waarin de cyberbeveiligingsvereisten van het bedrijf zijn vastgelegd;
Gebruik de principe van het minste voorrecht door beheerdersrechten van gebruikersdesktops en laptops te verwijderen;
Gebruik een wachtwoordbeheerder om het wachtwoordgebruik van uw medewerkers te verbeteren;
Schakel tweefactorauthenticatie in op alle belangrijke accounts (e-mail, bank, enz.); en
Identificeer bellers bij uw bedrijf wanneer ze belangrijke verzoeken doen (informatie opvragen, boekingen wijzigen, een creditcard belasten, enz.). Bedrijven met toegang tot de mobiele telefoonnummers van klanten moeten een authenticatiecode sms'en naar elke aanvrager van een wijziging.

Iedereen krijgt tegenwoordig te maken met inbreuken. Niet iedereen krijgt een boete omdat ze de juiste autoriteiten niet snel genoeg op de hoogte stellen. Cyberhoot raadt aan de twee onderstaande video's te bekijken om te leren hoe je een meldingsproces voor inbreuken instelt voor alle regelgeving waaraan je moet voldoen.