Booking.com bøtelagt etter Vishing-angrep

13. april 2021 | Blogg

Sammendragsmelding: Å utarbeide bruddvarslingen din under et brudd er en oppskrift på katastrofe.

I desember 2018 opplevde Booking.com et sikkerhetsbrudd der selskapet ble utnyttet gjennom et Vishing- angrep. For de som ikke vet det, er Vishing en hackingmetode der telefonsamtaler og talemeldinger utgir seg for å være fra anerkjente selskaper, og overtaler brukere til å oppgi personlig informasjon som bankinformasjon, kredittkortnumre eller annen ikke-offentlig personlig informasjon . Dette ligner på phishing og smishing , men bruker telefonsystemer og talemeldinger i stedet for e-post eller tekstmeldinger. Det som gjør dette sikkerhetsbruddet viktig er ikke selve sikkerhetsbruddet, men de påfølgende bøtene utstedt av den nederlandske databeskyttelsesmyndigheten (DPA). Les videre for å finne ut hvorfor bøtene ble ilagt.

Hvordan skjedde det?

Ifølge rapporten ble angrepet utført mot hoteller i De forente arabiske emirater (UAE), ved bruk av sosial manipulering over telefon. Hackerne ringte ansatte ved 40 forskjellige hoteller i regionen og overtalte dem til å utlevere innloggingsinformasjon for hotellkontoer i Booking.com-systemet.

Med disse stjålne påloggingsinformasjonene hentet «Visherne» data om 4109 kundebestillinger, inkludert kundenes navn, adresser og telefonnumre. Kriminelle fikk også tak i kredittkortdata fra 283 av disse bestillingene. Hackere stjal til og med 97 CVV-er (3-sifret kode på baksiden av kortet) som aldri skal lagres i noe elektronisk system!

Monique Verdier, nestleder i den nederlandske databeskyttelsesmyndigheten (DPA), påpekte i tilsynets rapport om bruddet:

Ved å utgi seg for å være hotellansatte i e-poster eller på telefon, forsøkte de å stjele penger fra folk. En slik tilnærming kan virke svært troverdig hvis svindleren vet nøyaktig når du gjorde en bestilling og hvilket rom du bestilte, og deretter ber deg betale for de aktuelle nettene. Store pengesummer kan bli stjålet på denne måten.

Alt som er diskutert frem til nå i denne artikkelen forklarer hvordan de fleste sikkerhetsbrudd skjer. Svært få selskaper som har begått sikkerhetsbrudd får ytterligere bøter fra myndighetene, så hva skjedde som forårsaket det her?

Bruddet skjedde i 2018

Nederlandske personverntilsynsmyndigheter ga Booking.com en bot på nesten en halv million euro, ikke fordi det var et brudd, men fordi selskapet ikke rapporterte bruddet raskt nok :

Den nederlandske datatilsynet (DPA) har ilagt Booking.com en bot på 475,000 4,000 euro fordi selskapet brukte for lang tid på å rapportere et datainnbrudd til DPA. Da bruddet skjedde, fikk kriminelle tak i personopplysningene til over 300 kunder. De fikk også tak i kredittkortinformasjonen til nesten XNUMX personer.

Tidslinje

Desember 2018: Datainnbrudd startet
13 januar 2019: Booking.com ble oppmerksom på lekkasjen.
04 februar 2019: Booking.com informerte berørte kunder.
07 februar 2019: Booking.com informerte Datatilsynet.

EU-bedrifter har 72 timer på seg til å rapportere et sikkerhetsbrudd fra det tidspunktet de bekreftet at det skjedde. Selv om Booking.com visste at det hadde skjedd en lekkasje 13. januar, visste de kanskje ikke omfanget av bruddet, som ville kreve varsling fra myndighetene. Men i januar, på det tidspunktet Booking.com bekreftet at bruddet berørte mer enn 500 poster, måtte de varsle datatilsynet innen 72 timer. De unnlot å gjøre dette, og det er derfor de ble bøtelagt så hardt.

Hva betyr dette for min SMB?

Varsler om brudd

Når det gjelder varsling av sikkerhetsbrudd, er det ekstremt viktig å raskt varsle de berørte brukerne og aktuelle etater som DPA i Nederland. Siden 2002 har det blitt vedtatt utallige personvernlover over hele verden. USA har et lappeteppe av personvernlover for hver stat, men ingen føderal lov i kraft. Når du forbereder varslingsprosessen for sikkerhetsbrudd, må du vurdere følgende forskrifter hvis du driver forretninger internasjonalt:

EUs Generell databeskyttelsesforskrift (GDPR)
Lov om forbrukerbeskyttelse i California (2018)
Australias personverntillegg Lov om varslingspliktige datainnbrudd av 2017
Lov om personlig informasjon og elektronisk dokumentasjon (PIPEDA)
Tysklands personvernlov sammenlignet med GDPR (BDSG)

CyberHoot-anbefalinger

CyberHoot anbefaler at du kjenner til lovene som påvirker bedriften din, og at du utarbeider et dokument for varsling av brudd som gjenspeiler disse lovene. Ikke glem å teste prosessen årlig også.

Utover å etablere en prosess for varsling av sikkerhetsbrudd, finnes det mange andre tiltak bedriften din kan iverksette for å redusere risikoen for sikkerhetsbrudd. CyberHoot anbefaler følgende grunnleggende tiltak mot sikkerhetsbrudd:

Lær opp og test ansatte i hvordan de kan oppdage og unngå phishing, smishingog Vishing angrep;
Styr ansatte med et sett med retningslinjer for cybersikkerhet som etablerer selskapets krav til cybersikkerhet;
Ansette prinsippet om minst privilegium ved å fjerne administratorrettigheter fra brukernes stasjonære og bærbare datamaskiner;
Ta i bruk en passordbehandler for å forbedre passordhygienen til ansatte.
Aktiver tofaktorautentisering på alle kritiske kontoer (e-post, bank osv.); og
Autentiser innringere til bedriften din når de kommer med forespørsler av høy verdi (ber om informasjon, endrer bestillinger, belaster et kredittkort osv.). Bedrifter med tilgang til kunders mobiltelefonnumre bør sende en SMS med autentiseringskode til hver endringsforespørrer.

Alle opplever sikkerhetsbrudd i disse dager. Ikke alle får bøter for ikke å varsle de rette myndighetene raskt nok. Cyberhoot anbefaler at du ser de to videoene nedenfor for å lære hvordan du etablerer en prosess for varsling av sikkerhetsbrudd for enhver forskrift du må overholde.