Hackerlar 5 yıl boyunca Marriott Group'un "yünü" toplamaya, puan biriktirdikten sonra kullanıcıları yamyam etmeye ve çalınan malları karaborsada satmaya devam ediyor
500 milyon kullanıcı verisi "hacklendi"! Kısa bir süre önce Marriott International, resmi web sitesinde, başlangıçta 500 milyon kullanıcıyı içermesi beklenen bir veri güvenliği olayını duyurdu ve bu, Yahoo'nun 300 milyon kullanıcısının bilgisayar korsanları tarafından çalınmasından bu yana en büyük bilgi sızıntısı olayı haline geldi.
500 milyon kullanıcı verisinin "ele geçirilmesinden" daha da şaşırtıcı olan, yeni bir "siyah üretim" zincirinin ortaya çıkmasıdır. Marriott International tarafından 19 Kasım 2018 tarihinde yapılan bir araştırmada, 2014 - 10 Eylül 2018 tarihleri arasında Starwood otel rezervasyonu veri tabanına ait misafir bilgilerine izinsiz erişildiği ortaya çıktı. 5 yıl içinde bilgisayar korsanları Otel gruplarını ve otel müşterilerini rahatsız etmemek adına, müşteri birikim noktalarını sürekli olarak yamyam eder ve "küçük su ve uzun akış" siyah çıkarları arar.
01Marriott, 680 milyon ABD dolarına kadar para cezasıyla karşı karşıya kalabilir
Marriott Internationalın açıklamasına göre, bu olayın salgını bu yıl 19 Kasımda iç güvenlik araçları tarafından yayınlanan bir güvenlik uyarısından kaynaklandı. Daha fazla araştırma sırasında güvenlik personeli, 2014 yılından bu yana üçüncü şahıslar tarafından Starwood'a saldırmak için sürekli girişimlerde bulunduğunu keşfetti. Ağa yetkisiz erişim ve verileri başka bir yere taşıma girişimi. Şu anda temel olarak 327 milyon kullanıcının doğum tarihi, e-posta adresi, pasaport numarası, SPG hesap bilgileri, doğum tarihi, cinsiyet, geliş ve gidiş bilgileri, rezervasyon bilgileri ve iletişim tercihlerinin sızdırıldığı teyit edilebilmektedir.
4 yıla yayılan bu veri ihlali hala çözülememiştir. Marriott International'dan resmi bir açıklamaya göre, Birleşik Krallık Bilgi Komiserliği olaydan haberdar edildi ve ilgili kolluk kuvvetlerine soruşturmada işbirliği yapmaları için bildirim yapıldı.
Cyberfire Knife güvenlik ekibinin kurucusu Qu Zilong'a göre, "Geçen yıl, beyaz şapkalar Marriott International'daki veritabanı güvenlik açıklarını keşfetti, ancak Marriott International bunu resmi kanallardan açıklamadı. Büyük para cezalarına maruz kalma korkusundan dolayı bu yıla kadar ertelenmesi gerekiyor." Marriott International'ın bu noktada duyurmayı seçmesinin nedeni, bu yıl Mayıs ayında Avrupa Birliği tarafından resmi olarak uygulanan Genel Veri Koruma Yönetmeliği (GDPR) ile ilgilidir. Bu kişisel veri koruma düzenlemeleri seti, tarihteki en katı kişisel veri koruma yönetmeliği olarak bilinir. AB içindeki şirketler, AB'de iş yapan çok uluslu şirketler ve AB vatandaşlarına iş hizmetleri sağlayan denizaşırı şirketler için veri toplama, veri koruma ve veri uygulaması için geçerlidir. Şartname.
Örneğin, AB'nin GDPR'ye göre, ilgili şirketin veri ihlalini 72 saat içinde bildirmesi gerekir, aksi takdirde para cezasına çarptırılır. Yönetmeliklere göre şirket, geçen yılki toplam küresel gelirinin% 4'üne veya 20 milyon Euro'ya (yaklaşık 180 milyon Hong Kong doları), hangisi daha yüksekse, para cezasına çarptırılabilir. Marriottun geçen yıl 17 milyar doları aşan toplam geliri esas alınarak hesaplanırsa, Marriott 680 milyon dolara varan büyük bir para cezasıyla karşı karşıya kalacak.
Olay patlak verdikten sonra, Marriott International CEO'su Starwood'un tüm BT sistemini aşamalı olarak kaldırmaya başlayacağını söyledi. Yerel güvenlik ekibi Anhua Jinhe'nin analizine göre, Marriott veritabanı güvenlik olayının temel nedeni Starwood'un 2015'te BT sistemi Truva Atı'nın arka kapısını tamamen temizlememesinden kaynaklanıyor olmalı.
Yurt dışından yurt içine, Ev Hanlarından, Çin Konaklama Otellerinden Marriott International'a, otel endüstrisi veri hırsızlığı olayları son yıllarda sonsuzdur. Güvenlik açıkları neden engellenemiyor? Bir otelcilik sektörü çalışanı da bu konuda çok çaresizdir. Ona göre bu, otel endüstrisinin doğası gereği çok sayıda harici arayüz ve karmaşık işle ilgilidir. "Yurtiçi otelcilik endüstrisi, iş ihtiyaçları nedeniyle dahili ağa çok sayıda arayüze sahiptir. , Önemli arayüzler için kimlik doğrulama kontrol noktasını kuracaktır, ancak bu güvenlik sistemi prosedürleri kümesi zahmetlidir ve BT sisteminin çalışma verimliliğini etkiler. Bu nedenle, gerçek operasyonda tam olarak konuşlandırılması zordur. Bu aynı zamanda bilgisayar korsanları için daha fazla saldırı bırakır. Fırsatlar. "Verimlilik ve güvenlik arasında, yerli ve yabancı otel endüstrileri işkenceyle karşı karşıya.
Aynı zamanda, GDPR'nin uygulanmasıyla, dünya çapında iş yapan bir şirketler grubu, veri koruma üzerine düşünceleri ilk başlatanlar olacak. Yerli bir güvenlik şirketine göre, GDPR piyasaya sürüldükten sonra, bir dizi havayolu yeni veri güvenliği koruma mekanizmaları kurmaya başladı.
02Hacker arbitrajının hedefi otel noktalarıdır
"Hacker organizasyonları, otel endüstrisinin kolayca istila edebileceği BT ortamı nedeniyle değil, otel verilerinin doğasında bulunan büyük ekonomik faydalar nedeniyle otel endüstrisi verilerine bakıyor." Anhua Jinhe'nin teknik uzmanlarına göre, günümüzün hacker saldırıları büyük bir oran. Düşük suç riski ve hızlı gerçekleşme hızı içindir.Otel sektörünün bilgisayar korsanları-otel üyelik noktalarının ihtiyaçlarını karşılayacak bir tür veriye sahip olduğu görülmektedir.
Kullanıcının temel kimlik bilgilerine ek olarak, Marriott'un SPG kulüp hesabı bilgilerinin sızdırdığı veri paketinde göze çarpmayan bir veri türü var.
SPG Club, Marriott International Group'un bir üyelik organizasyonudur SPG puanları doğrudan otel oda fiyatları ile değiştirilebilir ve ayrıca farklı hesaplar arasında içeri ve dışarı aktarılabilir. Bazı teknisyenler, Dream Market, Olympus ve Berlusconi Market gibi çevrimiçi karaborsalarda, SPG puanlarının bir zamanlar büyük bir işlem hacmine sahip olduğunu keşfetti - karaborsada bir SPG puanının fiyatı 5 sent civarındaydı (resmi web sitesi fiyatı 35 sentti). "Çoğu kullanıcı, otel hesaplarındaki noktalara nadiren dikkat eder. Bu nedenle, bilgisayar korsanı, kullanıcının sınırlı puanlarını her seferinde aktardığı sürece, keşfedilmeden para kazanmak için sürekli ve sürekli olarak SPG puanlarını kullanabilir." Yukarıda belirtilen teknik kişinin gözünde, hacker gizler. Hackerların daha önce kişisel bilgileri ve kredi kartı bilgilerini büyük ölçekte satıp çalmadıklarını gösteren keşfedilmesi 4 yıl sürdü. Aksine hızlı bir şekilde gerçekleştirilebilen otel üyelik noktaları hackerların hedefidir.
Basın zamanı itibariyle, SPG noktaları karaborsadaki satış bilgileri kayboldu, ancak IT Times'dan bir muhabir, yerel bir otel endüstrisi çalışanından, üyelik puanlarının çalınmasına ilişkin benzer vakaların münferit bir vaka olmadığını öğrendi. Arka uç sistemi, kullanıcı üye puanlarını çalar ve bunları pazara satar.Çok az kullanıcı bunu keşfettikten sonra bildirmek için inisiyatif kullanır.
03On bin puan başına en yüksek fiyat 700 yuan
Muhabir, Fliggy ve Xianyu'da "Marriott otel satış noktaları" aramaya çalıştı. SPG puanı satan en az bir düzine satıcı göründü. Alıntılar farklıydı. Her 10.000 puan için teklif 560 yuan ile 700 yuan arasındaydı. Muhabir İkisinin aylık satışlarını rastgele kontrol etti ve temelde 40-50 sipariş arasında tuttu. Satılan her 100.000 puana göre hesaplandığında, gelir 5.600 yuan ile 7.000 yuan arasında ulaşabilir 40 siparişi aştığında aylık gelirin 30.000 yuan'a ulaşması bekleniyor. Aynı zamanda birçok satıcının elindeki puanlar da çok "bol", 200.000-400.000 puan, 2-4 gün kredilendirilebilir.
Kim puan satın alıyor? Muhabir puan değişimini gerçek oda fiyatı ile karşılaştırdı. InterContinental Beijing Sanlitun'da standart bir odanın piyasa fiyatı 1950 yuan ve üyelik puanlarının döviz kuru 60.000 puandır. 60.000 puan satın almanın döviz fiyatı, temelde piyasa fiyatına eşit olan yaklaşık 1.560 yuan. % 20'lik bir indirim temelinde, ana hedef kitlesi hala orta ve üst düzey tüketicilerde yoğunlaşmıştır.
InterContinental Hotels'in Marriott SPG üye puanlarına ek olarak şu anda IHG üye noktaları da pazarda çok "sıcak satış" konumundadır. Bu satıcılar, büyük noktaların belirli kaynaklarını ifşa etmeye isteksiz olsalar ve "otel faaliyetleri" yoluyla biriktirme sözü verseler de, kaynak normaldir, ancak işlem sürecinde muhabirlere belirli noktaların otele ifşa edilmemesi gerektiğini "aksi halde otel" İzlendikten sonra riskler getirecektir. "
IT Times'tan bir muhabir, puanların devri için üye hesabının kayıt süresinin 90 günden fazla olması ve her hesabın yılda 100.000 puan transferini sınırlaması dışında, otelin puanların kullanılmasıyla ilgili herhangi bir özel kısıtlaması olmadığını tespit etti. Otel, üye puanlarının üyeler tarafından kullanılıp kullanılmadığına dair çok fazla kısıtlamaya sahip değildir. Bu aynı zamanda puan işlemine boşluklar getirir.
