Booking.com оштрафован после атаки вишинга

Краткое сообщение: Отработка уведомления о взломе во время взлома — верный путь к катастрофе.

В декабре 2018 года компания Booking.com подверглась взлому, в результате которого была использована фишинговая атака (вишинг) . Для тех, кто не знает, вишинг — это метод взлома, при котором телефонные звонки и сообщения голосовой почты имитируют звонки от известных компаний, убеждая пользователей предоставить личную информацию, такую ​​как банковские реквизиты, номера кредитных карт или другие конфиденциальные персональные данные . Это похоже на фишинг и смишинг , но использует телефонные системы и голосовую почту вместо электронной почты или текстовых сообщений. Важность этого инцидента заключается не в самом взломе, а в последующих штрафах, наложенных Управлением по защите данных Нидерландов (DPA). Читайте дальше, чтобы узнать, почему были наложены штрафы.

Как это случилось?

Согласно отчету, атака была совершена на отели в Объединенных Арабских Эмиратах (ОАЭ) с использованием методов социальной инженерии по телефону. Хакеры звонили сотрудникам 40 различных отелей в регионе и уговаривали их передать учетные данные для входа в систему Booking.com.

Используя украденные учетные данные, «вишеры» похитили данные о 4109 бронированиях клиентов, включая их имена, адреса и номера телефонов. Преступники также завладели данными кредитных карт 283 из этих бронирований. Хакеры даже похитили 97 CVV-кодов (трёхзначный код на обратной стороне карты), которые ни в коем случае нельзя сохранять ни в одной электронной системе!

Моник Вердье, заместитель председателя Нидерландского управления по защите данных (DPA), в отчете управления об утечке указала:

Выдавая себя за сотрудников отеля в электронных письмах или по телефону, они пытались украсть у людей деньги. Такой подход может показаться весьма правдоподобным, если мошенник точно знает, когда вы бронировали номер и какой номер вы забронировали, а затем просит вас оплатить проживание в этих номерах. Таким образом можно украсть крупные суммы денег.

Всё, что обсуждалось до этого момента в этой статье, объясняет, как происходит большинство нарушений. Очень немногие компании, чьи данные были нарушены, получают дополнительные государственные штрафы. Так что же стало причиной этого в данном случае?

Нарушение произошло в 2018 году

Голландский орган по защите данных оштрафовал Booking.com почти на полмиллиона евро не за факт утечки данных, а за то, что компания не сообщила об этом достаточно быстро.

Нидерландское управление по защите данных (DPA) наложило штраф в размере 475,000 4,000 евро на Booking.com за то, что компания слишком долго не сообщала в DPA об утечке данных. Когда утечка произошла, злоумышленники получили доступ к персональным данным более 300 клиентов. Они также завладели информацией о кредитных картах почти XNUMX человек.

Лента

• Декабрь 2018: Началась утечка данных
• 13 января 2019: Об утечке стало известно Booking.com.
• 04 февраля 2019: Booking.com проинформировал затронутых клиентов.
• 07 февраля 2019: Booking.com уведомил Орган по защите данных.

У компаний ЕС есть 72 часа, чтобы сообщить об утечке данных с момента подтверждения её факта. Хотя Booking.com знал об утечке данных ещё 13 января, они могли не знать масштаба утечки, требующего уведомления правительства. Однако в январе, когда Booking.com подтвердил, что утечка затронула более 500 записей, им нужно было уведомить DPA в течение 72 часов. Они этого не сделали, и именно поэтому их оштрафовали на такую большую сумму.

Что это означает для моего малого и среднего бизнеса?

Уведомления о нарушениях

Что касается уведомления об утечке данных, крайне важно оперативно уведомить затронутых пользователей и соответствующие органы, например, Управление по защите данных (DPA) в Голландии. С 2002 года по всему миру было принято бесчисленное множество законов о конфиденциальности данных. В США законы о конфиденциальности данных в каждом штате очень разнообразны, но нет действующего федерального закона. При подготовке процесса уведомления об утечке данных, если вы ведете бизнес на международном уровне, вам необходимо учитывать следующие правила:

• Европейский Союз Положение о защите данных Общие (GDPR)
• Закон о защите прав потребителей Калифорнии (2018)
• Поправка к закону о конфиденциальности в Австралии Закон 2017 года о подлежащих уведомлению утечках данных
• Закон о защите личной информации и электронных документов (ПИПЕДА)
• Закон Германии о защите данных в сравнении с GDPR (БДСГ)

Рекомендации CyberHoot

CyberHoot рекомендует вам ознакомиться с законами, регулирующими деятельность вашей компании, и подготовить документ о процессе уведомления о нарушении, отражающий его. Не забывайте также ежегодно тестировать этот процесс. 

Помимо внедрения процесса уведомления о нарушениях, ваша компания может предпринять множество других действий для снижения риска нарушений. CyberHoot рекомендует следующие основные меры противодействия нарушениям:

• Обучайте и тестируйте сотрудников, как выявлять и избегать фишинг, smishing и Вишинг нападения;
• Управлять сотрудниками с помощью набора политик кибербезопасности, устанавливающих требования компании к кибербезопасности;
• Использовать принцип наименьших привилегий путем лишения прав администратора пользовательских компьютеров и ноутбуков;
• Используйте менеджер паролей, чтобы улучшить гигиену паролей сотрудников;
• Включить двухфакторную аутентификацию для всех критически важных учетных записей (электронная почта, банк и т. д.); а также
• Проходите аутентификацию клиентов в вашей компании, когда они обращаются с важными запросами (запрашивают информацию, вносят изменения в бронирование, снимают средства с кредитной карты и т. д.). Компании, имеющие доступ к номерам мобильных телефонов клиентов, должны отправлять SMS-сообщение с кодом аутентификации каждому отправителю запроса на изменение.

В наши дни утечки данных случаются у всех. Не всех штрафуют за недостаточно быстрое уведомление соответствующих органов. Cyberhoot рекомендует посмотреть два видеоролика ниже, чтобы узнать, как организовать процесс уведомления о утечке данных для любого нормативного акта, который вы обязаны соблюдать.

Двухминутный (2) обзор

Пятидесятиминутный обзор BN для GDPR

Источники:

NakedSecurity – Sophos

Википедия – Законы об уведомлении о нарушении

Дополнительная литература: 

Правила, подобные CCPA, не останавливаются в Калифорнии