De Federale Handelscommissie aangekondigd Vrijdag was het definitief een bestelling (pdf) van Marriott International en dochteronderneming Starwood Hotels eisen dat zij hun digitale veiligheid verbeteren, rapporten BleepingComputer. De FTC beschuldigde de bedrijven van lakse beveiligingspraktijken die resulteerden in drie grote inbreuken die in 2015, 2018 en 2020 werden ontdekt en die “meer dan 344 miljoen klanten wereldwijd troffen”, waarbij paspoortgegevens, betaalkaarten en andere informatie lekten.
Bij de kortste inbreuk duurde het veertien maanden voordat deze werd ontdekt, terwijl bij de langste aanvaller vier jaar lang toegang behouden bleef, te beginnen in 2018. De verbeterde beveiligingsprogramma’s die zij zijn overeengekomen omvatten het ontwikkelen van beleid om informatie slechts zo lang te bewaren als het is nodig en het publiceren van een link waarmee Amerikaanse klanten kunnen verzoeken om de verwijdering van informatie die is gekoppeld aan hun e-mailadres of loyaliteitsaccount.
Hotels zijn een van de vele belangrijke doelwitten voor hackers. Bij één inbreuk vorig jaar was FTC-voorzitter Lina Khan een van de vele mensen die nog moesten wachten om in te checken toen een ransomware-aanval MGM Resorts dwong terug te vallen op het gebruik van pen en papier.
De FTC maakte haar beschuldigingen bekend in oktoberwaarbij de bedrijven ervan worden beschuldigd ‘consumenten te hebben misleid’ met valse beweringen over ‘redelijke en passende gegevensbeveiliging’. Hun vermeende fouten omvatten onder meer het gebruik van slechte wachtwoord- en firewallpraktijken en het niet patchen van verouderde software en systemen. Op dezelfde dag dat de FTC de beschuldigingen bekendmaakte, maakte het kantoor van de procureur-generaal van Connecticut bekend dat Marriott had ingestemd met een schikking van $ 52 miljoen.
Naast het verbeteren van hun veiligheid, is het de bedrijven nu verboden “een verkeerde voorstelling te geven van de manier waarop zij persoonlijke informatie van consumenten verzamelen, onderhouden, gebruiken, verwijderen of openbaar maken; en de mate waarin de bedrijven de privacy, veiligheid, beschikbaarheid, vertrouwelijkheid of integriteit van persoonlijke informatie beschermen.” Andere vereisten zijn onder meer dat ze nalevingsgegevens bijhouden en zich onderwerpen aan FTC-inspecties. Het besluit blijft twintig jaar van kracht.
