Pinagmulta ang Booking.com Kasunod ng Vishing Attack

ika-13 ng Abril 2021 | Blog

Buod ng Mensahe: Ang paggawa ng iyong Notification ng Paglabag sa panahon ng Paglabag ay isang recipe para sa kalamidad.

Noong Disyembre ng 2018, nakaranas ang Booking.com ng isang paglabag sa batas, kung saan pinagsamantalahan ang kumpanya sa pamamagitan ng isang pag-atake ng Vishing . Para sa mga hindi nakakaalam, ang Vishing ay ang paraan ng pag-hack kung saan ang mga tawag sa telepono at mga mensahe sa voicemail ay nagpapanggap na mula sa mga kagalang-galang na kumpanya, na kumukumbinsi sa mga gumagamit na magbigay ng personal na impormasyon tulad ng impormasyon sa pagbabangko, mga numero ng credit card, o iba pang hindi pampublikong personal na impormasyon . Ito ay katulad ng phishing at smishing ngunit gumagamit ng mga sistema ng telepono at voicemail sa halip na email o mga text message. Ang nagpapahalaga sa paglabag na ito ay hindi ang paglabag mismo kundi ang mga kasunod na multa na inisyu ng Dutch Data Protection Authority (DPA). Magbasa pa upang malaman kung bakit pinatawan ng mga multa.

Paano ito nangyari?

Ayon sa ulat, ang pag-atake ay isinagawa laban sa mga hotel sa United Arab Emirates (UAE), gamit ang mga trick ng social engineering sa telepono. Tinawagan ng mga hacker ang mga staff sa 40 iba't ibang hotel sa rehiyon at kinukumbinsi silang ibigay ang mga login credential para sa mga hotel account sa Booking.com system.

Gamit ang mga ninakaw na kredensyal na ito, nakuha ng 'Vishers' ang data sa 4109 na mga booking ng customer, kabilang ang mga pangalan, address, at numero ng telepono ng customer. Nakuha din ng mga kriminal ang data ng credit card mula sa 283 sa mga booking na iyon. Ninakaw pa ng mga hacker ang 97 CVV's (3-digit na code sa likod ng card) na hindi kailanman dapat i-save sa anumang electronic system!

Itinuro ni Monique Verdier, deputy chair ng Dutch Data Protection Authority (DPA) sa ulat ng Awtoridad ng paglabag:

Sa pamamagitan ng pagpapanggap sa mga email o sa telepono bilang staff ng hotel, sinubukan nilang magnakaw ng pera mula sa mga tao. Ang ganitong paraan ay maaaring mukhang lubos na kapani-paniwala kung alam ng manloloko nang eksakto kung kailan ka nag-book at kung anong kuwarto ang iyong na-book, pagkatapos ay hihilingin sa iyo na magbayad para sa mga gabing pinag-uusapan. Malaking halaga ng pera ang maaaring nakawin sa ganitong paraan.

Lahat ng tinalakay hanggang sa puntong ito sa artikulong ito ay nagpapaliwanag kung paano nangyayari ang karamihan sa mga paglabag. Napakakaunting mga lumabag na kumpanya ang tumatanggap ng karagdagang multa ng gobyerno, kaya ano ang nangyari upang maging sanhi nito dito?

Nangyari ang Paglabag noong 2018

Pinagmulta ng halos kalahating milyong Euros ng mga Dutch DPA regulator ang Booking.com hindi dahil sa nagkaroon ng paglabag, kundi dahil hindi agad naiulat ng kumpanya ang paglabag :

Ang Dutch Data Protection Authority (DPA) ay nagpataw ng €475,000 na multa sa Booking.com dahil masyadong nagtagal ang kumpanya para mag-ulat ng data breach sa DPA. Nang mangyari ang paglabag, nakuha ng mga kriminal ang personal na data ng mahigit 4,000 customer. Nakuha rin nila ang impormasyon ng credit card ng halos 300 tao.

timeline

2018 Disyembre: Nagsimula ang data breach
13 Enero 2019: Nalaman ng Booking.com ang pagtagas.
04 2019 Pebrero: Ipinaalam ng Booking.com ang mga apektadong customer.
07 2019 Pebrero: Ipinaalam ng Booking.com ang Data Protection Authority.

Ang mga negosyo sa EU ay may 72 oras upang mag-ulat ng isang paglabag mula sa oras na kanilang nakumpirma na nangyari ito. Bagama't alam ng Booking.com na may naganap na pagtagas noong Enero 13, maaaring hindi nila alam ang lawak ng paglabag na mangangailangan ng abiso ng gobyerno. Gayunpaman, noong Enero sa oras na nakumpirma ng Booking.com na naapektuhan ng paglabag ang higit sa 500 record, kailangan nilang ipaalam sa DPA sa loob ng 72 oras. Nabigo silang gawin ito, kaya naman pinatawan sila ng napakabigat na multa.

Ano ang Kahulugan Nito Para sa Aking SMB?

Mga Notification ng Paglabag

Tungkol sa abiso ng paglabag, napakahalagang abisuhan kaagad ang mga apektadong user at naaangkop na ahensya tulad ng DPA sa Holland. Mula noong 2002 nagkaroon ng hindi mabilang na mga batas sa privacy ng data na ipinatupad sa buong mundo. Ang US ay may tagpi-tagping kubrekama ng mga batas sa privacy ng data para sa bawat estado, ngunit walang pederal na batas na may bisa. Sa paghahanda ng iyong proseso ng pag-abiso ng paglabag, kung magnenegosyo ka sa ibang bansa, kakailanganin mong isaalang-alang ang mga sumusunod na regulasyon:

European Union's Pangkalahatang Data Protection Regulation (GDPR)
Batas sa Proteksyon ng Consumer ng California (2018)
Pagbabago sa Privacy ng Australia (Notifiable Data Breaches) Act of 2017
Proteksyon sa Personal na Impormasyon at Batas sa Electronic na Mga Dokumento (PIPEDA)
Batas sa Privacy ng Data ng Germany Kumpara sa GDPR (BDSG)

Mga Rekomendasyon ng CyberHoot

Inirerekomenda ng CyberHoot na alam mo ang mga batas na nakakaapekto sa iyong kumpanya at naghahanda ka ng isang dokumento sa proseso ng Pag-abiso ng Paglabag na sumasalamin sa mga batas na iyon. Huwag kalimutang subukan ang proseso taun-taon din.

Higit pa sa pagtatatag ng proseso ng pag-abiso ng paglabag, marami pang ibang pagkilos na maaaring gawin ng iyong kumpanya upang mabawasan ang panganib ng isang paglabag. Inirerekomenda ng CyberHoot ang mga sumusunod na pangunahing hakbang sa kontra sa paglabag:

Sanayin at subukan ang mga empleyado kung paano makita at maiwasan Phishing, nakakainis, at nagbubuong pag-atake;
Pamahalaan ang mga empleyado na may isang hanay ng mga patakaran sa cybersecurity na nagtatatag ng mga kinakailangan sa cybersecurity ng kumpanya;
Gamitin ang prinsipyo ng pinakamaliit na pribilehiyo sa pamamagitan ng pag-alis ng mga karapatan ng admin mula sa mga desktop at laptop ng user;
Magpatibay ng isang tagapamahala ng password upang mapabuti ang kalinisan ng password ng empleyado;
I-enable ang two-factor authentication sa lahat ng kritikal na account (email, bangko, atbp.); at
I-authenticate ang mga tumatawag sa iyong negosyo kapag gumagawa sila ng mataas na halaga ng mga kahilingan (pagtatanong ng impormasyon, pagpapalit ng mga booking, pagsingil ng credit card atbp). Ang mga kumpanyang may access sa mga numero ng mobile phone ng kliyente ay dapat mag-text ng isang authentication code sa bawat humiling ng pagbabago.

Lahat ay nalalabag sa mga araw na ito. Hindi lahat ay pinagmumulta dahil sa hindi mabilis na pag-abiso sa mga awtoridad. Inirerekomenda ng Cyberhoot na panoorin ang dalawang video sa ibaba, upang matutunan kung paano magtatag ng Proseso ng Pag-abiso ng Paglabag para sa anumang regulasyong dapat mong sundin.