Hotelketen Marriott meldt datadiefstal die 5 miljoen klanten treft

Hotelketen Marriott is opnieuw getroffen door een datalek. Daarbij zijn gegevens van meer dan vijf miljoen klanten buitgemaakt. Het gaat om hun namen en contactgegevens, geboortedatums, en reserveringsinformatie.

Het datalek vond medio januari van dit jaar plaats. Het bedrijf kwam daar eind februari achter, schrijft het in een blogpost. Criminelen zouden zijn binnengekomen via de logingegevens van twee medewerkers van een van de hotels in de keten. Marriott zegt dat het onderzoek nog loopt. Vooralsnog lijkt het erop dat de gegevens van 5,2 miljoen klanten van de keten zijn gestolen. Het gaat om namen, woon- en e-mailadressen, telefoonnummers en geboortedatums. Ook zijn sommige boekingsgegevens bij de hack buitgemaakt, waaronder gelinkte luchtvaartmaatschappijprogramma's, en verblijfs- en kamervoorkeuren. Onbekend is of dat laatste concreet betekent dat er verblijfsdata zijn gestolen. Marriott schrijft dat er geen aanwijzingen zijn dat wachtwoorden, identificatiebewijzen of financiële gegevens zijn gestolen.

Marriott heeft een website online gezet waarop klanten meer informatie kunnen vinden. Daar staan ook tips op over hoe klanten moeten opletten dat er geen identiteitsfraude met hun gegevens wordt gepleegd, en tips over het beveiligen van gegevens. Het is niet bekend of er ook Nederlandse slachtoffers door het lek getroffen zijn.

Het is niet de eerste keer dat de hotelketen last heeft van een groot datalek. In 2018 werden de gegevens van een half miljard klanten gestolen. Dat is tot nu toe een van de grootste datalekken in de geschiedenis. Bij dat datalek kregen de hackers ook creditcardgegevens in handen. Ze hadden ruim vier jaar toegang tot de systemen van de keten. Het bedrijf kreeg miljoenenboetes voor het slecht beveiligen van de gegevens.

Reacties (45)

[_ferry_]

Ooit eens in kunnen loggen op 1 van hun systemen welke simpel geNAT was op :443. Wachtwoord had ik in 2x geraden. Via hun site contact gezocht, gemeld hoe en wat, niets van gehoord, en waarschijnlijk kan ik er nog steeds op inloggen.
Miljoenenboetes zijn blijkbaar niet voldoende.

[Beta]

Dit dus!

Medewerkers bij Marriott zijn ook niet echt privacy aware. Meekijken op hun schermen tijdens een check in is peanuts en ik kon gegevens zien van andere gasten.

[kodak]

Toen en ook nu kun je dat hoe dan ook maar beter altijd melden bij de toezichthouder in plaats van alleen aan het bedrijf.

[Arator]

Misschien had er een kleine voetnoot bij het artikel gemogen welke hotelketens allemaal deel uitmaken van Marriott. Want eerst dacht "geen nood, die keten ken ik niet, nooit geweest." Tot je gaat kijken welke merken allemaal deel uitmaken van die groep : Sheraton, Ritz-Carlton, AC Hotels, Le Meridien, ... Ineens wordt de kans dat je in hun systemen zit, wel een pak groter.

[WillySis]

Zelfs boetes blijken niet te helpen.
Misschien moeten naast de boetes ook restricties (met hele hoge boetes bij niet naleven) worden uitgedeeld. Een restrictie kan dan bijvoorbeeld een verbod op het bewaren van klantgegevens zijn zodra het niet meer strikt noodzakelijk is.
Onder noodzakelijk moet je dan verstaan dat de dienst is geleverd en betaald.

[Verwijderd]

Onder noodzakelijk moet je dan verstaan dat de dienst is geleverd en betaald.

Leg jij dat dan even aan de belastingdienst uit? In sommige landen waar we actief zijn mogen we data volgens privacy regels maar drie jaar bewaren en eist de belasting dat we na 6 jaar nog elke transactie moeten kunnen laten zien. Zit nu al 9 maanden te wachten op een reactie van een van beide.

[WillySis]

De rekening (overschrijving oid) mag nog wel bewaard blijven. Dat is gewoon noodzakelijk. Wie een dienst of product heeft afgenomen hoeft niet bewaard te blijven (eventueel alleen het rekeningnummer van de betaling). Naam, geboortedatum, telefoonnummer, email en al die privacy gevoelige data hoeven helemaal niet bewaard te blijven.
De privacy regels en de eisen van de belasting kunnen dus prima samengaan.

Te veel bedrijven denken dat ze alle gegevens maar moeten blijven bewaren, maar dat is beslist niet noodzakelijk. Wij bewaren alle gegevens ook één jaar, alleen downloads blijven aan een e-mailadres gekoppeld omdat iedereen het recht heeft om de content later opnieuw te downloaden. Verder gaat alle data naar gebruiker "anoniempje". De financiële administratie is niet aan onze app gekoppeld. De consumenten producten zijn maar een klein deel van onze inkomsten.

[Het.Draakje]

Bewaren kun je ook off-line. Belastingdienst heeft er echt geen moeite mee als je bij inspectie ze in een apart zaaltje neerzet waar een off-line computer staat. E.e.a. goed documenteren en klaar is kees.

Regel 1 van beveiliging tegen hackers: wat niet on-line is, is veilig. (Tenzij je fysiek toegang hebt maar dan heb je een groter probleem.

[mjtdevries]

Dat zullen ze wel toejuichen. De data meteen verwijderen als jij uit checked en hebt betaald.
Geen accountantscontroles etc meer mogelijk. Jaarrekeningen kunnen niet gecontroleerd worden, de mogelijkheden zijn eindeloos.

[WillySis]

De financiele transacties horen bij de noodzakelijke gegevens. Die moeten bewaard blijven, samen met waarvoor die transactie heeft plaats gevonden. (hier kamer XX van datum tot datum plus bijkomende diensten). Nergens staat dat ook alle gegevens van de klant bewaard moeten blijven.
De accountantscontroles en controle van de jaarrekeningen kunnen nog gewoon en zonder enige belemmering gedaan worden.

[Killemov]

Zucht, wanneer gooien bedrijven "oude" informatie nou eens weg?

[Yalopa]

Financiële gegevens moet een wettelijke periode bijgehouden worden. in België is dat geloof ik 7 jaar. Je gooit niet zomaar "oude data" weg.

toegegeven het kan gearchiveerd worden...

[latka]

Je kamervoorkeur hoef je iig. geen 7 jaar te bewaren. Typisch een voorbeeld van niet selectief data opslaan: bewaar alles maar dat is eenvoudiger.

[Verwijderd]

De kamervoorkeur staat opgeslagen in het profiel van het Marriott Bonvoy loyaliteitsprogramma, en dat geldt ook voor de andere gegevens die genoemd worden. UIt je puntenopbrengst van het programma kun je ook wel afleiden wanneer je in welk hotel geweest bent. Dat nog even voor @TijsZonderH .

Tot nu toe nog geen mail ontvangen, terwijl ik 100% zeker in de Marriott Bonvoy database sta als statusklant. Wel tot nu toe nooit in de VS verbleven met dat account, dus misschien dat dat meespeelt.

[mjtdevries]

En dat loyaliteitsprogramma is ook waar die "gelinkte luchtvaartmaatschappijprogramma's" uit komen.

En ook dat is een reden om verblijfsdata nog langere tijd te bewaren, want bij zo'n programma geldt vaak dat wanneer je lid word je ook eerdere verblijven nog kan claimen voor je loyaliteitsprogramma.

Maar ja, tweakers die zelden reizen kennen dat allemaal niet.

[Bender]

Het zou heel goed kunnen dat dit soort bedrijven het moeten bewaren voor een lange periode van de overheid.
Je kunt immers ook niet anoniem overnachten in een hotelketen omdat de overheid die informatie wil kunnen opeisen ivm opsporing van criminaliteit.

[Zynth]

Dat kan ook wel offline dan.

[Bender]

Offline backups zou ik niet echt durven te vertrouwen als het gaat om beschikbaarheid om juridische redenen.

[R4gnax]

Je kunt immers ook niet anoniem overnachten in een hotelketen omdat de overheid die informatie wil kunnen opeisen ivm opsporing van criminaliteit.

In dat geval heb je voldoende aan de combinatie naam + nationaliteit + document nummer en een simpele visuele inspectie van het betreffende identiteitsbewijs door de medewerker.

Middels het document nummer weet je over welk officieel uitgegeven staatsdocument het gaat; middels nationaliteit weet je welke staat het uitgegeven heeft; en met de naam heb je een verificatie element wat tegen bijv. tik-fouten helpt.

Als een staat moet verifiëren of een bepaalde persoon bij een hotelketen heeft verbleven, hoeft hun politie-apparaat enkel het geregistreerde actieve documentnummer na te lopen bij de keten in kwestie.

Volledige kopiën van identiteitsbewijzen of volledige sets overgenomen persoonsgegevens zijn daar 100% niet nodig.

[Reactie gewijzigd door R4gnax op 23 juli 2024 11:54]

[Bender]

Ik ben het zeker met je eens.

Maar de overheid wil in het kader van opsporing wel vaker dat je meer bewaard dan noodzakelijk is.

[Killemov]

Eens. En vervolgens wordt er weer veel meer veel langer bewaard dan de overheid wil. Als alle bedrijven hun oude backups bij de politie inleveren in het kader van "hebben jullie vast nodig" dan is het natuurlijk ook weer niet goed. Ik bedoel hiermee dat gegevens goed bewaren voor de kans op opsporing ook geld kost en dat de overheid hier nogal opportunistisch mee om gaat. En wat als je toch gegevens na een jaar weggooit? Wat is dan de financiele schade en weegt die op tegen de kosten?

[jpsch]

7.000 Hotels en resorts vallen onder Marriott. Dus gemiddeld 742 klanten per hotel/resort. Klinkt niet alsof ze decennia data bewaren.

[Vizzie]

Maar in 2018 hadden ze de gegevens van 100x meer klanten al laten stelen...en dan zit je op 70K klanten per hotel.

Ach aan de andere kant waren deze gegevens in 2018 waarschijnlijk al gestolen en zijn nu alleen mensen slachtoffer die er sinds die tijd nieuwe klant geworden zijn. Iets minder erg

[jpsch]

Toen was er jarenlang toegang. Misschien hebben ze historie gewist of de oude gegevens beter beveiligd?

[Pasteis]

Zucht, wanneer gooien bedrijven "oude" informatie nou eens weg?

Helaas heb ik al een aantal situaties meegemaakt dat het door zoveel oude data te bewaren het echt een rotzooi kan worden in de masterdata van een organisatie. Je zou eigenlijk gewoon moeten willen dat klanten die langer dan 5 jaar (liefst nog korter) niks hebben afgenomen verwijdert worden in het bestand (op een aantal uitzonderingen na misschien). Het zou ook prettig wezen als je als klant kan kiezen of je gegevens eenmalig gebuikt worden (voor een eenmalige order/reservering) om vervolgens na een jaar automatisch verwijdert worden of geregistreerd mogen worden om mogelijk toekomstige orders te kunnen plaatsen.

[mjtdevries]

oud?

Hack is nog geen twee maanden oud. Sorry, maar dan ben je niet realistisch bezig als je vind dat die data al oud is en verwijderd had moeten zijn.

[Orangelights23]

Wat bedoel je precies? Het gaat om een hack waarbij gegevens zijn gestolen die oud zijn, ofwel niet meer gebruikt worden - klanten overnachten niet in één van de hotels - en dus helemaal niet meer benodigd zijn om te bewaren.

[Verwijderd]

Zucht, wanneer gooien bedrijven "oude" informatie nou eens weg?

Niet zolang de belastingdienst eist dat ze het moet bewaren.

[R4gnax]

Niet zolang de belastingdienst eist dat ze het moet bewaren.

Een belastingdienst gaat niet vragen om zaken als gekoppeld vluchtprogramma; verblijfsvoorkeur; of kamervoorkeur. Zelfs niet om geboortedatum.

Een belastingdienst is enkel geinteresseerd in facturering en belastbare transacties; en daarvoor wordt ten hoogste om de transactie-datum; naam koper; en leverings- of factuur-adres gevraagd. Vaak zijn de wettelijke minimale normen zelfs veel en veel lager.

Bijv. geldt hier in Nederland voor retail dat er voor transacties met niet-belastbare personen (o.a. en voornamelijk consumenten) geen verplichting is tot het uitschrijven van een factuur.

Een factuur is dan ook wat anders dan een recu, cq een kassabon. Grof gezegd is een factuur wat je vooraf krijgt en waarop staat wat je moet gaan betalen; en is een recu wat je betaald hebt. En er wordt echt zo--- vaak de foute term gebruikt dat het ingeburgerd is.

[Reactie gewijzigd door R4gnax op 23 juli 2024 11:54]

[Orphu]

Geven ze zelf tips over het beveiligen van gegevens? Dit is bijna een sigaar uit eigen doos verhaal.

[AibohphobiA BoB]

Het is geen 'sigaar uit eigen doos'. Dat zou inhouden dat je iets hebt gekregen dat al van jouw was. In dit geval ben je hooguit iets (virtueel) kwijtgeraakt dat van jou was, het omgekeerde dus.
Het is eerder 'De koe in de kont kieken'.

[Orphu]

Dat gezegde was mij niet bekend, maar past beter. Bedankt!

Overigens doelde ik op het feit dat ze beveiligingstips geven terwijl ze die beter zelf nodig hadden

[Reactie gewijzigd door Orphu op 23 juli 2024 11:54]

[AibohphobiA BoB]

In dat geval bedoel je misschien 'De splinter in het oog van de ander zien, maar niet de balk in het eigen.'
Maar hoe dan ook, ze hebben behoorlijk de plank misgeslagen, zijn ze in de aap gelogeerd en hopelijk geven ze niet de pijp aan Maarten maar betalen ze met gelijke munt terug.

[Bender]

Ik ben erg benieuwd waarom dit via een werknemers account kan.. kan een werknemer een volledige klantendatabase exporteren?
Lijkt me ongewenste functionaliteit om data te beschermen.

[jpsch]

Ligt aan de werknemer lijkt me. Zou wel gelogd moeten worden.

[shenrbe]

Een werknemer mag sowieso geen toegang krijgen op productiedatabases. Zelfs niet in readonly modus.
Gevoelige data mag nooit rechtstreeks toegankelijk zijn.

[jpsch]

Succes met het afschermen van de medewerkers die bij de administratie, communicatie en database management zitten.

[Pikoe]

Ik werk op het moment als BI-ontwikkelaar bij een ziekenhuis. We werken voornamelijk met een data warehouse wat AVG-proof is, maar daarvoor zal je toch echt eerst op (een kopie van) de productiedatabase moeten om data te onttrekken.
In theorie zou ik zo alle medische gegevens kunnen stelen. Hoe wil je dat afschermen?

[TonyZh]

Het lijkt me belangrijk dat de database nog een extra beveiligingslaag heeft wanneer criminelen binnenkomen en persoonlijk vind ik zulke beveiligingslekken onverantwoord. Dit is ook niet de eerste keer en blijkbaar hebben ze dus niet van hun fouten geleerd. De volgende keer gewoon een flinke boete geven, zodat bedrijven dit soort zaken op orde krijgen.

-Zorg ervoor dat er protocollen zijn en train personeel om goed om te gaan met deze gegevens.
-Zorg voor een sterk wachtwoord dat niet zomaar geraden kan worden.
-Zorg ervoor dat je de database (met adminrechten) alleen kan binnenkomen met 2FA.
-Persoonlijke informatie zou geëncrypt moeten worden en wachtwoorden zouden gehashed moeten worden met zout en pepper en ook daarna geëncrypt moeten worden, zodat de aanvaller helemaal niks aan de data heeft.

[Reactie gewijzigd door TonyZh op 23 juli 2024 11:54]

[Palomar]

Jaar of 7-8 geleden paar keer in een 'AC by Marriott' hotel gezeten, maar mijn gegevens zijn volgens de tool in genoemde website niet gelekt (https://privacyportal-cdn...c1-97c6-37764e40d3f6.html). Om die te gebruiken moet je ook niet al te achterdochtig zijn. Je wordt doorgelinkt naar een url die niet echt meer van Marriott lijkt te zijn en dan moet je al je gegevens even inkloppen (gelukkig heb ik niks te verbergen )

[CyBeRSPiN]

Moet zeggen dat de afhandeling wel netjes is. Ook even gecontroleerd en gelukkig ook niet een van de "gelukkigen" wiens gegevens gestolen zijn.
Maar ik probeer ook altijd en overal te opt-outen van elk systeem waar men mijn gegevens in wil stoppen..

[lynxie]

Ik heb in het verleden heel veel gereisd voor mijn werk, ik weet echt niet meer bij welke hotels en hotelketens ik allemaal geweest ben, maar blijkbaar ook bij het Mariott, vanmiddag mail gehad. Het is goed om in ieder geval te weten dat het gebeurd is maar alle info en mogelijkheden bij een instantie ten spijt is het gewoon te laat en weet ik niet precies welke gegevens van mij zijn buit gemaakt, er is geen weg terug.

[kodak]

Staat er in die mail ook dat ze melding hebben gedaan bij de toezichthouder? Fijn natuurlijk dat ze hun klanten informeren, maar dit is blijkbaar niet het eerste lek dat ze hebben. Dan zou je er wel op aan kunnen dringen dat de toezichthouder er strenger naar gaat kijken in plaats van steeds meer slachtoffers te laten maken.