Booking.com dostal pokutu za útok na Vishinga

Súhrnná správa: Vypracovanie oznámenia o porušení počas porušenia je receptom na katastrofu.

V decembri 2018 došlo k narušeniu systému Booking.com , pri ktorom bola spoločnosť zneužitá prostredníctvom útoku Vishing . Pre tých, ktorí to nevedia, Vishing je hackerská metóda, pri ktorej sa telefonické hovory a hlasové správy vydávajú za hovory od renomovaných spoločností a presviedčajú používateľov, aby poskytli osobné údaje, ako sú bankové informácie, čísla kreditných kariet alebo iné neverejné osobné údaje . Je to podobné phishingu a smishingu , ale namiesto e-mailov alebo textových správ sa používajú telefónne systémy a hlasová schránka. Dôležité nie je samotné narušenie, ale následné pokuty udelené holandským úradom na ochranu údajov (DPA). Čítajte ďalej a zistite, prečo boli pokuty udelené.

Ako sa to stalo?

Podľa správy bol útok vykonaný na hotely v Spojených arabských emirátoch (SAE) s využitím trikov sociálneho inžinierstva cez telefón. Hackeri telefonovali zamestnancom 40 rôznych hotelov v regióne a presvedčili ich, aby im odovzdali prihlasovacie údaje k hotelovým účtom v systéme Booking.com.

S týmito ukradnutými prihlasovacími údajmi získali „Visheri“ údaje o 4109 rezerváciách zákazníkov vrátane mien, adries a telefónnych čísel zákazníkov. Zločinci sa tiež zmocnili údajov o kreditných kartách z 283 z týchto rezervácií. Hackeri dokonca ukradli 97 CVV kódov (3-miestny kód na zadnej strane karty), ktoré by sa nikdy nemali ukladať do žiadneho elektronického systému!

Monique Verdierová, podpredsedníčka holandského úradu na ochranu údajov (DPA), v správe úradu o narušení bezpečnosti uviedla:

Tým, že sa v e-mailoch alebo telefonicky vydávali za hotelového personálu, sa pokúšali ukradnúť ľuďom peniaze. Takýto prístup sa môže zdať veľmi dôveryhodný, ak podvodník presne vie, kedy ste si rezervovali izbu a akú ste si rezervovali, a potom vás požiada o zaplatenie za dané noci. Týmto spôsobom sa dajú ukradnúť veľké sumy peňazí.

Všetko, čo bolo v tomto článku doteraz rozobraté, vysvetľuje, ako k väčšine porušení dochádza. Veľmi málo spoločností, ktoré porušili pravidlá, dostane dodatočné pokuty od vlády, takže čo to spôsobilo?

K porušeniu došlo v roku 2018

Holandské regulačné orgány pre ochranu údajov udelili spoločnosti Booking.com pokutu takmer pol milióna eur nie preto, že by došlo k porušeniu, ale preto, že spoločnosť porušenie nenahlásila dostatočne rýchlo :

Holandský úrad na ochranu údajov (DPA) uložil spoločnosti Booking.com pokutu 475 000 eur, pretože spoločnosť trvala príliš dlho s nahlásením úniku údajov úradu. Keď k úniku došlo, zločinci získali osobné údaje viac ako 4 000 zákazníkov. Získali tiež informácie o kreditných kartách takmer 300 ľudí.

časová os

• Decembra 2018: Začalo sa únik údajov
• 13 2019 januára: Booking.com sa o úniku informácií dozvedel.
• 04 2019 februára: Spoločnosť Booking.com informovala dotknutých zákazníkov.
• 07 2019 februára: Spoločnosť Booking.com informovala Úrad na ochranu údajov.

Firmy v EÚ majú 72 hodín na nahlásenie porušenia od okamihu, keď ho potvrdili. Hoci Booking.com vedel o úniku údajov 13. januára, možno nevedel o rozsahu porušenia, ktoré by si vyžadovalo oznámenie vláde. Avšak v januári, v čase, keď Booking.com potvrdil, že porušenie ovplyvnilo viac ako 500 záznamov, museli do 72 hodín informovať úrad pre ochranu údajov. Neurobili tak, a preto dostali tak vysokú pokutu.

Čo to znamená pre moju malú a strednú firmu?

Oznámenia o porušení

Pokiaľ ide o oznamovanie porušenia, je mimoriadne dôležité rýchlo informovať dotknutých používateľov a príslušné agentúry, ako napríklad DPA v Holandsku. Od roku 2002 bolo na celom svete prijatých nespočetné množstvo zákonov o ochrane údajov. USA majú pre každý štát rôznorodú škálu zákonov o ochrane údajov, ale neexistuje žiadny federálny zákon. Pri príprave procesu oznamovania porušenia, ak podnikáte medzinárodne, budete musieť zvážiť nasledujúce predpisy:

• Európskej únie Všeobecné nariadenie o ochrane údajov (GDPR)
• Kalifornský zákon o ochrane spotrebiteľa (2018)
• Austrálsky dodatok o ochrane súkromia Zákon (o porušeniach údajov podliehajúcich oznamovaniu) z roku 2017
• Zákon o ochrane osobných údajov a elektronických dokumentoch (PIPEDA)
• Nemecký zákon o ochrane údajov v porovnaní s GDPR (BDSG)

Odporúčania CyberHoot

Spoločnosť CyberHoot odporúča, aby ste poznali zákony, ktoré sa týkajú vašej spoločnosti, a pripravili si dokument o procese oznamovania porušení, ktorý tieto zákony odráža. Nezabudnite tento proces každoročne testovať. 

Okrem zavedenia procesu oznamovania narušení existuje mnoho ďalších opatrení, ktoré môže vaša spoločnosť podniknúť na zníženie rizika narušenia. CyberHoot odporúča tieto základné protiopatrenia proti narušeniu:

• Školte a testujte zamestnancov, ako ich rozpoznať a vyhnúť sa im Phishing, SMiShingovýcha vishing útoky;
• Riaďte zamestnancov súborom politík kybernetickej bezpečnosti, ktoré stanovujú požiadavky spoločnosti na kybernetickú bezpečnosť;
• Zamestnať princíp najmenej výsad odobratím administrátorských práv z používateľských počítačov a notebookov;
• Zaveďte správcu hesiel na zlepšenie hygieny hesiel zamestnancov;
• Povoliť dvojfaktorové overenie na všetkých kritických účtoch (e-mail, bankový účet atď.); a
• Overte volajúcich vo vašej firme, keď podávajú žiadosti s vysokou hodnotou (žiadosti o informácie, zmeny rezervácií, platby kreditnou kartou atď.). Spoločnosti s prístupom k mobilným telefónnym číslam klientov by mali každému žiadateľovi o zmenu poslať overovací kód prostredníctvom SMS.

V dnešnej dobe sa každý stretáva s porušeniami. Nie každý dostane pokutu za to, že dostatočne rýchlo neoznámi porušenie príslušným orgánom. Cyberhoot odporúča pozrieť si dve videá nižšie, kde sa dozviete, ako zaviesť proces oznamovania porušenia pre akékoľvek nariadenie, ktoré musíte dodržiavať.

Dvojminútový (2) prehľad

Päťdesiat (50) minútový prehľad BN pre GDPR

Zdroje:

NakedSecurity – Sophos

Wikipédia – Zákony o oznamovaní porušení

Ďalšie čítanie: 

Predpisy ako CCPA sa nekončia v Kalifornii