Gagnabrot Marriott: Vegabréf ekki dulkóðuð

Marriott sagði í dag að teymi réttar- og gagnasérfræðinga hefðu skilgreint „um það bil 383 milljón færslur sem efri mörk“ fyrir heildarfjölda týndra gagna. Fyrirtækið segist ennþá ekki hafa hugmynd um hver framkvæmdi árásina og það lagði til að talan myndi lækka með tímanum þar sem fleiri afrit skráðu.

Það sem gerði Starwood árásina öðruvísi var tilvist vegabréfanúmera, sem gæti auðveldað leyniþjónustunni að rekja fólk sem fer yfir landamæri. Það er sérstaklega mikilvægt í þessu tilfelli: Í desember greindi The New York Times frá því að árásin væri hluti af kínversku leyniþjónustusókninni, sem náði aftur til ársins 2014, og einnig reiðhestur bandarískum sjúkratryggingum og skrifstofu starfsmannastjórnunar, sem heldur öryggi. úthreinsunarskrár yfir milljónir Bandaríkjamanna.

Enn sem komið er eru engin þekkt tilfelli þar sem stolið vegabréf eða kreditkortaupplýsingar fundust í sviksamlegum viðskiptum. En gagnvart rannsóknaraðilum á netárásum er það bara enn eitt merkið um að tölvuþrjótin hafi verið gerð af leyniþjónustustofnunum, ekki glæpamönnum. Stofnanirnar myndu vilja nota gögnin í sínum eigin tilgangi - að byggja upp gagnagrunna og fylgjast með markmiðum eftirlits stjórnvalda eða iðnaðar - frekar en að nýta sér gögnin í hagnaðarskyni.

Samanlagt virtist árásin vera hluti af víðtækari viðleitni ríkisöryggisráðuneytis Kína til að setja saman gífurlegan gagnagrunn yfir Bandaríkjamenn og aðra með viðkvæmar stöðu stjórnvalda eða atvinnugreina - þar á meðal þar sem þeir störfuðu, nöfn samstarfsmanna sinna, erlendra tengiliða og vina. , og hvert þeir ferðast.

„Stór gögn eru ný bylgja gagnsæis,“ sagði James A. Lewis, sérfræðingur í netöryggismálum sem stýrir tækniáætluninni í Center for Strategic and International Studies í Washington, í síðasta mánuði.

Marriott International sagði að færri viðskiptavinarskrám var stolið en óttast var í upphafi en bætti við að meira en 25 milljónum vegabréfanúmera væri stolið í netárásinni í síðasta mánuði. Fyrirtækið sagði í dag að mesta innbrot í persónulegar upplýsingar sögunnar væri ekki alveg eins mikið og óttast var fyrst en viðurkenndi í fyrsta skipti að Starwood hóteleiningin dulkóðaði ekki vegabréfatölur fyrir um það bil 5 milljónir gesta. Þessar vegabréfatölur týndust í árás sem margir utanaðkomandi sérfræðingar telja að hafi verið framkvæmd af kínverskum leyniþjónustustofnunum.

Þegar árásin var fyrst opinberuð af Marriott í lok nóvember sagði hún að upplýsingum um 500 milljónir gesta gæti verið stolið, allt úr bókunargagnagrunni Starwood, helstu hótelkeðju sem Marriot hafði eignast. En á þeim tíma sagði fyrirtækið að talan væri versta atburðarás vegna þess að hún innihélt milljónir tvítekninga.

Endurskoðuð tala er enn mesta tap í sögunni, meira en árásin á Equifax, neytendalánaskýrslustofnun, sem missti ökuskírteini og almannatryggingar um u.þ.b. 145.5 milljónir Bandaríkjamanna árið 2017, sem leiddi til þess að forstjóri þess féll frá. og mikið traust á fyrirtækinu.

Einn æðsti embættismaður kínverska ríkisöryggisráðuneytisins var handtekinn í Belgíu seint á síðasta ári og framseldur til Bandaríkjanna vegna ásakana um að hafa gegnt meginhlutverki í innbroti í bandarísk varnartengd fyrirtæki og aðrir voru tilgreindir í ákæru dómsmálaráðuneytisins í Desember. En þessi mál voru ótengd Marriott árásinni, sem FBI er enn að rannsaka.

Kína hefur neitað allri vitneskju um árásina á Marriott. Í desember sagði Geng Shuang, talsmaður utanríkisráðuneytis þess, „Kína er eindregið á móti hvers kyns netárás og brýtur niður í því í samræmi við lög.“

„Ef sönnunargögnum er boðið munu viðkomandi kínverskar deildir framkvæma rannsóknir samkvæmt lögunum,“ bætti talsmaðurinn við.

Rannsóknin í Marriott hefur leitt í ljós nýjan varnarleysi í hótelkerfum: Hvað verður um vegabréfagögn þegar viðskiptavinur pantar eða skráir sig inn á hótel, venjulega erlendis, og afhendir skrifstofumanni vegabréf. Marriott sagði í fyrsta skipti að 5.25 milljónir vegabréfanúmera væru geymd í Starwood kerfinu í látlausum, ódulkóðuðum gagnaskrám - sem þýðir að auðvelt var að lesa þær innan bókunarkerfisins. 20.3 milljónir vegabréfanúmera til viðbótar voru geymd í dulkóðuðum skrám, sem krefjast þess að dulkóðunarlykill sé til að lesa. Það er óljóst hve margir þeirra sem taka þátt í bandarískum vegabréfum og hversu margir koma frá öðrum löndum.

„Það eru engar sannanir fyrir því að óviðkomandi þriðji aðili hafi fengið aðgang að dulkóðunarlyklinum sem þarf til að dulkóða dulkóðuð vegabréfsnúmer,“ sagði Marriott í yfirlýsingu.

Það var ekki strax ljóst hvers vegna sumar tölur voru dulkóðaðar og aðrar ekki - aðrar en að hótel í hverju landi, og stundum hver eign, höfðu mismunandi samskiptareglur til að meðhöndla upplýsingar um vegabréf. Leyniþjónustusérfræðingar hafa í huga að bandarískar leyniþjónustustofnanir leita oft eftir vegabréfafjölda útlendinga sem þeir rekja utan Bandaríkjanna - sem gæti skýrt hvers vegna Bandaríkjastjórn hefur ekki krafist sterkari dulkóðunar vegabréfagagna um allan heim.

Aðspurð hvernig Marriott hafi verið að meðhöndla upplýsingarnar nú þegar það hefur sameinað gögn Starwood í Marriott bókunarkerfið - samruna sem var nýlokið í lok árs 2018 - Connie Kim, talsmaður fyrirtækisins, sagði: „Við erum að skoða möguleika okkar til að flytja að alhliða dulkóðun vegabréfanúmera og munu vinna með kerfisveitum okkar til að skilja betur getu þeirra, auk þess að fara yfir gildandi innlendar og staðbundnar reglur. “

Utanríkisráðuneytið sendi frá sér yfirlýsingu í síðasta mánuði þar sem þeim var sagt að vegabréfahafar ættu ekki að örvænta vegna þess að fjöldinn einn myndi ekki gera einhverjum kleift að búa til fölsuð vegabréf. Marriott hefur sagt að það myndi greiða fyrir nýtt vegabréf fyrir alla sem fundust vegabréfsupplýsingar, sem brotist var út úr kerfum þeirra, vera með svik. En það var nokkuð slæmur hlutur fyrirtækisins, þar sem það veitti engum umfjöllun fyrir gesti sem vildu fá nýtt vegabréf einfaldlega vegna þess að gögn þeirra höfðu verið tekin af erlendum njósnurum.

Hingað til hefur fyrirtækið lagt áherslu á það mál með því að segja að það hafi engar sannanir fyrir því hverjir árásarmennirnir voru og Bandaríkjamenn hafa ekki formlega sakað Kína í málinu. En einkareknir greindarhópar sem hafa skoðað brotið hafa séð sterkar hliðstæður við aðrar árásir sem tengjast Kínverjum á þeim tíma. Forseti og framkvæmdastjóri fyrirtækisins, Arne Sorenson, hefur ekki svarað spurningum um innbrotin á almannafæri og Marriott sagðist vera á ferðalagi og hafnaði beiðni frá The Times um að ræða um innbrot.

Fyrirtækið sagði einnig að um 8.6 milljónir kredit- og debetkorta hafi „tekið þátt“ í atvikinu, en þau eru öll dulkóðuð - og öll nema 354,000 kortin voru útrunnin í september 2018, þegar uppgötvunin, sem stóð yfir í mörg ár, uppgötvaðist.