Booking.com multado após ataque de vishing

Mensagem de resumo: Elaborar sua notificação de violação durante uma violação é uma receita para o desastre.

Em dezembro de 2018, a Booking.com sofreu uma violação de segurança, na qual a empresa foi explorada por meio de um ataque de vishing . Para quem não sabe, vishing é um método de ataque cibernético em que ligações telefônicas e mensagens de voz se fazem passar por empresas legítimas, convencendo os usuários a fornecer informações pessoais, como dados bancários, números de cartão de crédito ou outras informações confidenciais . É semelhante ao phishing e ao smishing , mas utiliza sistemas telefônicos e mensagens de voz em vez de e-mails ou mensagens de texto. O que torna essa violação importante não é o ataque em si, mas as multas subsequentes aplicadas pela Autoridade Holandesa de Proteção de Dados (DPA). Continue lendo para descobrir por que as multas foram aplicadas.

Como isso aconteceu?

Segundo o relatório, o ataque foi realizado contra hotéis nos Emirados Árabes Unidos (EAU), utilizando técnicas de engenharia social por telefone. Os hackers ligaram para funcionários de 40 hotéis diferentes na região e os convenceram a fornecer as credenciais de acesso às contas dos hotéis no sistema Booking.com.

Com essas credenciais roubadas, os "Vishers" recuperaram dados de 4109 reservas de clientes, incluindo nomes, endereços e números de telefone. Os criminosos também obtiveram dados de cartão de crédito de 283 dessas reservas. Os hackers até roubaram 97 CVVs (códigos de 3 dígitos no verso do cartão), que nunca deveriam ser salvos em nenhum sistema eletrônico!

Monique Verdier, vice-presidente da Autoridade Holandesa de Proteção de Dados (DPA), destacou no relatório da Autoridade sobre a violação:

Ao se passarem por funcionários do hotel em e-mails ou por telefone, eles tentavam roubar dinheiro das pessoas. Essa abordagem pode parecer altamente crível se o fraudador souber exatamente quando você fez a reserva e qual quarto reservou, e então pedir que você pague pelas noites em questão. Grandes quantias de dinheiro podem ser roubadas dessa forma.

Tudo o que foi discutido até aqui neste artigo explica como a maioria das violações ocorre. Pouquíssimas empresas que sofrem violações recebem multas governamentais adicionais. Então, o que aconteceu para causar isso?

A violação ocorreu em 2018

A Autoridade Holandesa de Proteção de Dados multou a Booking.com em quase meio milhão de euros não por ter havido uma violação de segurança, mas sim porque a empresa não a reportou com a rapidez necessária :

A Autoridade Holandesa de Proteção de Dados (APD) impôs uma multa de € 475,000 à Booking.com pela demora da empresa em relatar uma violação de dados à APD. Quando a violação ocorreu, os criminosos obtiveram os dados pessoais de mais de 4,000 clientes. Eles também obtiveram informações de cartão de crédito de quase 300 pessoas.

Timeline

• Dezembro 2018: Violação de dados iniciada
• 13 2019 janeiro: A Booking.com tomou conhecimento do vazamento.
• 04 2019 fevereiro: Booking.com informou os clientes afetados.
• 07 2019 fevereiro: A Booking.com informou a Autoridade de Proteção de Dados.

As empresas da UE têm 72 horas para relatar uma violação a partir do momento em que a confirmaram. Embora a Booking.com soubesse que o vazamento havia ocorrido em 13 de janeiro, talvez não soubesse da extensão da violação, o que exigiria notificação governamental. No entanto, em janeiro, no momento em que a Booking.com confirmou que a violação afetou mais de 500 registros, precisavam notificar a DPA em até 72 horas. A empresa não o fez, e por isso recebeu uma multa tão pesada.

O que isso significa para minha PME?

Notificações de violação

Em relação à notificação de violações, é extremamente importante notificar rapidamente os usuários afetados e as agências competentes, como a DPA na Holanda. Desde 2002, inúmeras leis de privacidade de dados foram promulgadas em todo o mundo. Os EUA têm uma colcha de retalhos de leis de privacidade de dados para cada estado, mas nenhuma lei federal em vigor. Ao preparar seu processo de notificação de violação, se você faz negócios internacionalmente, precisará considerar as seguintes regulamentações:

• União Européia Regulamento geral de proteção de dados (GDPR)
• Lei de Proteção ao Consumidor da Califórnia (2018)
• Emenda de Privacidade da Austrália Lei de Violações de Dados Notificáveis de 2017
• Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA)
• Lei de Privacidade de Dados da Alemanha em Comparação com o GDPR (BDSG)

Recomendações do CyberHoot

A CyberHoot recomenda que você conheça as leis que afetam sua empresa e prepare um documento de Notificação de Violação que reflita essas leis. Não se esqueça de testar o processo anualmente. 

Além de estabelecer um processo de notificação de violações, sua empresa pode adotar muitas outras medidas para reduzir o risco de uma violação. A CyberHoot recomenda as seguintes medidas básicas contra violações:

• Treinar e testar funcionários sobre como identificar e evitar Phishing, smishing e vishing ataques;
• Gerenciar os funcionários com um conjunto de políticas de segurança cibernética que estabeleçam os requisitos de segurança cibernética da empresa;
• Empregar o princípio do menor privilégio retirando direitos de administrador dos desktops e laptops dos usuários;
• Adote um gerenciador de senhas para melhorar a higiene das senhas dos funcionários;
• Habilitar autenticação de dois fatores em todas as contas críticas (e-mail, banco, etc.); e
• Autentique os chamadores em sua empresa quando eles fizerem solicitações de alto valor (pedir informações, alterar reservas, cobrar no cartão de crédito etc.). Empresas com acesso aos números de celular dos clientes devem enviar um código de autenticação por SMS para cada solicitante de alteração.

Todo mundo está sofrendo violações de segurança ultimamente. Nem todo mundo está sendo multado por não notificar as autoridades competentes com a rapidez necessária. A Cyberhoot recomenda assistir aos dois vídeos abaixo para aprender como estabelecer um Processo de Notificação de Violação para qualquer regulamentação que você precise cumprir.

Visão geral de dois (2) minutos

Visão geral de cinquenta (50) minutos do BN para GDPR

Fontes:

NakedSecurity – Sophos

Wikipédia – Leis de Notificação de Violação

Leitura Adicional: 

Regulamentações como a CCPA não param na Califórnia