FTC наказує Marriott і Starwood посилити безпеку даних

Федеральна торгова комісія оголосила в п’ятницю, що завершила роботу над наказом (pdf), який вимагає від Marriott International та його дочірньої компанії Starwood Hotels покращити свою цифрову безпеку. BleepingComputer. Федеральна торгова комісія звинуватила компанії в недотриманні правил безпеки, що призвело до трьох серйозних порушень, виявлених у 2015, 2018 і 2020 роках, «що вплинули на понад 344 мільйони клієнтів у всьому світі», витік паспортних даних, платіжних карток та іншої інформації.

Найкоротший зловмисник тривав 14 місяців, перш ніж його було виявлено, тоді як найдовше зловмисники зберігали доступ протягом чотирьох років, починаючи з 2018 року. Програми покращеної безпеки, які вони погодилися створити, включають створення політик для збереження інформації лише для розміщення посилання, яке дозволяє клієнтам із США подати запит на видалення інформації, пов’язаної з адресою електронної пошти або обліковим записом лояльності, також потрібно.

Готелі були однією з кількох ключових цілей для хакерів. Минулого року стався злом, у результаті якого голова FTC Ліна Хан опинилася серед багатьох людей, які чекали на реєстрацію, коли атака програми-вимагача змусила MGM Resorts повернутися до використання ручок і паперу.

FTC оголосила про свої звинувачення в жовтні, звинувативши компанії в «обмані споживачів» через неправдиві заяви про «розумну та належну безпеку даних». Їх передбачувані збої включали поганий пароль і брандмауер, а також невиправлення застарілого програмного забезпечення та систем. У той самий день, коли FTC оприлюднила звинувачення, офіс генерального прокурора Коннектикуту оголосив, що Marriott погодився на виплату 52 мільйонів доларів.

Окрім покращення безпеки, компаніям тепер заборонено «неправдиво повідомляти, як вони збирають, зберігають, використовують, видаляють або розкривають особисту інформацію споживачів. і ступінь, до якого компанії захищають конфіденційність, безпеку, доступність, конфіденційність або цілісність особистої інформації”. Інші вимоги включають ведення записів щодо відповідності та надання перевірок FTC. Наказ діятиме протягом 20 років.