Marriott a accepté de payer $52M et d'améliorer ses pratiques en matière de sécurité des données. Les violations remontent à 2014 et Marriott devra payer les amendes.
Les règlements annoncés comportent deux volets. Un règlement avec 49 procureurs généraux des États-Unis et le district de Columbia exige que le géant de l'hôtellerie paie $52 millions à ces entités. Par ailleurs, la Federal Trade Commission exige que Marriott et sa filiale Starwood mettent en œuvre un "solide programme de sécurité de l'information". En outre, l'entreprise a accepté de fournir à tous ses clients un moyen de demander la suppression des informations personnelles liées à leur adresse électronique ou à leur numéro de compte de fidélité.
Samuel Levine, directeur du Bureau de la protection des consommateurs de la FTC, a déclaré que les mauvaises politiques de sécurité de Marriott ont conduit à de multiples violations qui ont affecté des centaines de millions de consommateurs.
Les mesures prises aujourd'hui par la FTC, en coordination et avec nos partenaires des États, garantiront que Marriott améliore ses pratiques en matière de sécurité des données dans les hôtels du monde entier.
Le Connecticut était le co-chef de file de cette action en justice multiétatique. William Tong, son procureur général, a déclaré que les entreprises ont l'obligation de prendre des mesures pour protéger la sécurité des données des consommateurs. Marriott n'a pas respecté cette obligation, ce qui a conduit à la violation du réseau informatique de Starwood et à l'exposition des informations personnelles de millions de ses clients. Cet accord conclu entre 50 États, sous l'égide du Connecticut, impose un système de protection basé sur les risques qui permet de se prémunir contre les cybermenaces en constante évolution. Nous continuerons à travailler en étroite collaboration avec nos collègues de plusieurs États à travers le pays pour veiller à ce que les entreprises prennent toutes les mesures raisonnables pour protéger nos données personnelles".
Marriott a annoncé son intention d'acquérir Starwood en 2015 et, peu après, Starwood a informé ses clients qu'elle avait été victime d'une violation de données pendant 14 mois, impliquant des informations sur les cartes de paiement de plus de 40 000 clients.
Après la fusion de $12,2 milliards d'euros en 2016, Marriott était responsable des pratiques de protection des données des deux marques. En novembre 2018, Marriott a annoncé avoir identifié la deuxième violation. La première brèche a commencé en 2014 et a impliqué la copie des informations de 340 millions de clients Starwood dans le monde entier. Elle n'a été découverte que quatre ans après la première violation.
Selon la Commission fédérale du commerce des États-Unis (FTC), les experts en criminalistique ont déterminé que cette violation avait été causée par des "actes malveillants" compromettant le site web externe de Starwood et installant des logiciels malveillants sur leur réseau. Le rapport indique que les introducteurs ont installé "des enregistreurs de frappe, des logiciels de récupération de mémoire et des chevaux de Troie d'accès à distance sur plus de 480 ordinateurs répartis sur 58 sites de Starwood, y compris des centres d'entreprise, des centres de données, des centres de contact avec la clientèle et des hôtels".
Les mauvaises pratiques de Marriott en matière de sécurité ont entraîné un certain nombre de violations qui ont touché des centaines et des millions de clients.
La faille a entraîné le vol de plus de 5,25 millions de numéros non cryptés de passeports, de cartes de paiement, d'adresses électroniques, de noms d'utilisateur, de dates de naissance, de codes de fidélité Starwood, d'informations sur les séjours, de détails sur les vols, et bien plus encore.
Marriott a signalé le troisième piratage en mars 2020. Les pirates ont utilisé les identifiants de connexion des employés d'une propriété franchisée de Marriott pour entrer dans le système de Marriott.
Les intrus ont commencé à voler des informations en septembre 2018 - le même mois où la deuxième violation a été découverte - et ont continué jusqu'en décembre 2018, puis ont repris en janvier 2020 jusqu'à ce qu'ils soient découverts en février 2020.
Au cours de cette période, ils ont accédé à plus de 5,2 millions de dossiers d'invités contenant des "quantités significatives" (selon la FTC) d'informations personnelles.
La plainte de la FTC allègue que Marriott n'a pas respecté un certain nombre d'obligations, notamment la mise en œuvre de contrôles appropriés des mots de passe, l'application de correctifs aux logiciels obsolètes et la surveillance des environnements de réseau. Elle affirme également que Marriott n'a pas mis en place de pare-feu appropriés ni appliqué d'autorisation multifactorielle adéquate.
Marriott ne reconnaît pas sa responsabilité dans ces allégations. Marriott gère et exploite plus de 7 000 hôtels et centres de villégiature aux États-Unis et dans plus de 130 autres pays.
