ماريوت وستاروود: قاعدة بيانات الحجز التي اشترتها ماريوت والحقيقة الأمنية التي ورثتها

ملخص

• الحقيقة التشغيلية الموروثة:دخل المتسلل إلى بيئة ستاروود في أواخر يوليو 2014، أي قبل أكثر من عامين من استكمال ماريوت استحواذها على ستاروود في 23 سبتمبر 2016. لم تخلق ماريوت الاختراق الأولي. لكن بعد الإغلاق، سيطرت على شركة كان نظام الحجز العالمي وسجلات الضيوف العالمية لا تزال تعمل وكان يجب إدارتها كأصول لماريوت، حتى مع بقاء الشبكات القديمة وشبكات ماريوت منفصلة.
• الجدول الزمني والنطاق:تم إنشاء تنبيه لمراقبة قاعدة البيانات في 7 سبتمبر 2018 وتم رفعه إلى ماريوت في 8 سبتمبر. وجد المحققون حصان طروادة للوصول عن بُعد في 17 سبتمبر، وحددوا ملفات تصدير مشفرة محذوفة في 13 نوفمبر، وفكوا تشفير ملفين في 19 نوفمبر، وأبلغوا المنظم البريطاني في 22 نوفمبر وكشفوا علنًا في 30 نوفمبر. أصبح سقف ماريوت المبكر البالغ 500 مليون ضيف حدًا أقصى يبلغ 383 مليون سجل، واستخدمت السجلات التنظيمية اللاحقة 339 مليونًا على مستوى العالم؛ لا يمثل أي من هذه الأرقام عددًا دقيقًا للأشخاص الفريدين.
• نتائج البيانات والتحكم:تضمنت المجموعات المكشوفة تفاصيل الاتصال وتواريخ الميلاد ومعرفات جواز السفر وبيانات الولاء ومعلومات الحجز والإقامة وبيانات بطاقة الدفع. توصل مكتب مفوض المعلومات البريطاني إلى أربعة استنتاجات رئيسية لفترة اللائحة العامة لحماية البيانات فقط: المراقبة غير الكافية للحسابات المميزة، ومراقبة غير كافية لقاعدة البيانات، وسيطرة غير كافية على الأنظمة الحيوية، وعدم تشفير جميع أرقام جوازات السفر. لم يتوصل إلى استنتاجات نهائية بموجب المادتين 33 أو 34 من اللائحة العامة لحماية البيانات، واستبعد تغطية المصادقة متعددة العوامل غير الكاملة من الغرامة بعد النظر في تمثيلات ماريوت.
• المساءلة بعد الإنفاذ:فرض مكتب مفوض المعلومات غرامة قدرها 18.4 مليون جنيه إسترليني في عام 2020. في عام 2024، توصل المدعون العامون للولايات إلى تسوية بقيمة 52 مليون دولار، وفرضت لجنة التجارة الفيدرالية أمرًا لمدة 20 عامًا يغطي حوكمة الأمان، وتقييم الكيان المستحوذ عليه، والمراقبة، والوصول، والتصلب، والتشفير، والاحتفاظ بالبيانات، والتقييم المستقل. لم تعترف ماريوت بالمسؤولية في عملية مكتب مفوض المعلومات أو التسوية متعددة الولايات. تلك الحدود الإجرائية مهمة، لكنها لا تخفف من الدرس التشغيلي: الاستحواذ يغلق صفقة قانونية؛ لا يشهد على حقيقة البيئة المستحوذ عليها.

كان الأصل شركة وقاعدة بيانات وتاريخًا أمنيًا غير مكتمل

أعلنت ماريوت عن اتفاقها للاستحواذ على ستاروود في 16 نوفمبر 2015. بعد أربعة أيام، كشفت ستاروود عن حادثة بطاقات دفع منفصلة أثرت على أنظمة نقاط البيع في عدد محدود من الفنادق في أمريكا الشمالية. قال التقرير السنوي لستاروود لعام 2015 إن البرامج الضارة وصلت إلى أنظمة نقاط البيع في المطاعم ومحلات الهدايا وغيرها؛ وقال إنه لا يوجد indication في ذلك الوقت أن أنظمة الحجز أو ستاروود بريفرد جيست قد تأثرت. (نموذج 10-K لستاروود 2015)

لم يكن ذلك الإفصاح إشعارًا باختراق قاعدة بيانات الحجز الذي أعلنته ماريوت لاحقًا. تضمن الحادثان أنظمة وحسابات عامة مختلفة. لكنه كان إشعارًا بأن بيئة ستاروود لها تاريخ أمني. تقول شكوى لجنة التجارة الفيدرالية لعام 2024 إن اختراق نقاط البيع استمر حوالي 14 شهرًا، وأثر على أكثر من 40,000 مستهلك، وارتبط بتجزئة غير كافية، وضوابط وصول، وبرامج غير مدعومة، ومصادقة متعددة العوامل مفقودة. تقول نفس الشكوى إن ماريوت راجعت برنامج أمن المعلومات لستاروود خلال الأشهر العشرة بين الإعلان والإغلاق، بما في ذلك الإخفاقات المرتبطة بهذا الاختراق الأول. تلك التصريحات هي ادعاءات لجنة التجارة الفيدرالية في مسألة موافقة، وليست استنتاجات من محاكمة متنازع عليها. (شكوى لجنة التجارة الفيدرالية)

يضيف حساب ماريوت قيدًا مهمًا. في شهادته أمام لجنة فرعية في مجلس الشيوخ الأمريكي في عام 2019، قال الرئيس التنفيذي آنذاك آرن سورنسون إن ماريوت حصلت على معلومات حول تكنولوجيا ستاروود وأجرت تقييمًا للتكامل خلال فترة ما قبل الإغلاق، لكن الاستفسار كان محدودًا قانونيًا وعمليًا لأن الشركتين بقيتا منافستين. قررت ماريوت الاحتفاظ بمنصة الحجز الخاصة بها والتخلص من منصة ستاروود. استغرق نقل 1,270 فندقًا دون تعطيل الحجوزات عامين، لذلك استمر نظام ستاروود في العمل بعد الإغلاق بينما قالت ماريوت إنها استثمرت في أمان إضافي. (شهادة سورنسون في مجلس الشيوخ)

كلا الحقيقتين يمكن أن تكونا صحيحتين. يمكن أن يكون الوصول قبل الإغلاق مقيدًا، ويمكن للمشتري أن يرث مشكلة تحكم حية. الخطأ هو معاملة العناية الواجبة كشهادة لمرة واحدة بدلاً من تغيير في عبء الإثبات. قبل الإغلاق، يسأل المشتري عما يمكنه فحصه قانونيًا، وما يمثله البائع، وما الحماية التعاقدية التي يحتاجها. بعد الإغلاق، يمكن للمالك إعادة التحقق من الهويات المميزة، وفحص التسجيل، والبحث عن الاستمرارية، ورسم خرائط تصدير قاعدة البيانات، واختبار التجزئة، وجرد الطرق التشفيرية، وتقرير ما إذا كان النظام القديم قد يستمر في معالجة البيانات الشخصية. تتغير السلطة. وكذلك يجب أن تتغير الأدلة.

أكملت ماريوت الاستحواذ في 23 سبتمبر 2016. أصبحت ستاروود شركة تابعة مملوكة بالكامل بشكل غير مباشر، ووصفت المجموعة المدمجة ما يقرب من 6,000 عقار، وأكثر من 1.1 مليون غرفة، و30 علامة تجارية عبر 120 دولة ومنطقة. (نموذج 8-K لاستحواذ ماريوت) النطاق مهم ليس كمشهد ولكن كخريطة للتبعية. لم تكن قاعدة بيانات الحجز تطبيقًا مكتبيًا طرفيًا. لقد ربطت الفنادق ومراكز الاتصال وعمليات الولاء وخدمة الضيوف وسجلات السفر عبر نظام امتياز وإدارة عالمي.

يحدد السجل العام أيضًا حقيقة معمارية ضيقة لكنها مهمة. وجد مكتب مفوض المعلومات أن الأنظمة التي وصل إليها المهاجم ظلت منفصلة عن شبكة ماريوت الأوسع. قال إن الهجوم لم يوفر الوصول إلى البيانات الشخصية التي تمت معالجتها فقط على أنظمة غير تابعة لستاروود. وبالتالي، حد الفصل من نصف قطر الانفجار. لم يجعل البيئة المستحوذ عليها آمنة. بقي جانب ستاروود في الإنتاج، والفصل بدون مراقبة فعالة يمكن أن يحافظ على المتسلل بسهولة كما يحتويه.

الجدول الزمني: الدخول والملكية والاكتشاف والإفصاح تواريخ مختلفة

غالبًا ما يتم ضغط الاختراق في عبارة "الوصول غير المصرح به منذ 2014". تفقد هذه العبارة التسلسل المطلوب للمساءلة. على الأقل ستة ساعات مهمة: الاختراق الأولي، واستحواذ ماريوت، وبداية تغطية اللائحة العامة لحماية البيانات، والتنبيه، وتأكيد تورط بيانات الضيوف، والإفصاح العام.

يونيو 2014 إلى 2015: حادثة بطاقات دفع منفصلة لستاروود.تصف شكوى لجنة التجارة الفيدرالية اللاحقة اختراقًا استمر 14 شهرًا وصل فيه ممثل إلى شبكة ستاروود وقام بتثبيت برامج ضارة لسرقة بطاقات الدفع في أكثر من 100 عقار مملوك أو مُدار. كشفت ستاروود علنًا عن حادثة نقاط بيع على مستوى العقار في نوفمبر 2015 وقالت إن أنظمة حجز الضيوف والولاء الخاصة بها لم يشار إليها على أنها متأثرة. هذا الحادث السابق مهم لأنه وضع نقاط الضعف في الشبكة في سياق الاستحواذ. لا ينبغي دمجه بأثر رجعي مع اختراق قاعدة بيانات الحجز كما لو كان كل حقيقة أو كل مستهلك متأثر هو نفسه.

28-29 يوليو 2014: دخول إلى البيئة التي ارتبطت لاحقًا باختراق الحجز.تضع شكوى لجنة التجارة الفيدرالية اختراق خادم ويب مواجه للخارج في أو حوالي 28 يوليو. يقول إشعار غرامة مكتب مفوض المعلومات إن قشرة ويب تم تثبيتها في 29 يوليو على جهاز يدعم تطبيقًا يستخدمه موظفو ستاروود لطلب تغييرات محتوى الموقع. مكنت القشرة من الوصول عن بُعد وتثبيت أحصنة طروادة للوصول عن بُعد. يعكس الاختلاف لمدة يوم واحد دقة عمليتي إعادة بناء عامتين، وليس بالضرورة تناقضًا واقعيًا. الاستنتاج الآمن هو أواخر يوليو 2014.

جمع المتسلل بيانات اعتماد مميزة وبيانات اعتماد مستخدمين وتحرك عبر بيئة ستاروود. زعمت لجنة التجارة الفيدرالية أن مسجلات المفاتيح وبرامج مسح الذاكرة الضارة وأحصنة طروادة للوصول عن بُعد ظهرت في النهاية على أكثر من 480 نظامًا عبر 58 موقعًا للشركات ومراكز البيانات ومراكز الاتصال والفنادق. وصف مكتب مفوض المعلومات استخدام الحسابات المشروعة، واستخراج بيانات الاعتماد Mimikatz، وتصدير جداول قاعدة البيانات بأكملها إلى ملفات تفريغ. لا ينشر أي من السجلين التقرير الجنائي الأساسي، أو قائمة كاملة بالمضيفين المتأثرين، أو الثغرة الدقيقة التي جعلت الخادم المواجه للجمهور قابلاً للاستغلال لأول مرة.

نوفمبر 2015: تعلن ماريوت عن الصفقة؛ تكشف ستاروود عن الاختراق الآخر.هذه هي اللحظة التي أصبح فيها خطر الأمن السيبراني الموروث مرئيًا كقضية صفقة. لم يكشف عن مهاجم الحجز المخفي. لقد أعطى المشتري سببًا لمعاملة الضمانات الفنية وادعاءات المعالجة والامتثال لبطاقات الدفع وتجزئة الشبكة كافتراضات تتطلب تحققًا مستقلاً بعد نقل السيطرة.

23 سبتمبر 2016: تغلق ماريوت الاستحواذ.كان متسلل الحجز موجودًا بالفعل. تقول ماريوت إنها أجرت تحسينات أمنية بينما استمرت في تشغيل نظام ستاروود في انتظار الهجرة. يسجل مكتب مفوض المعلومات أن الشبكتين بقيتا منفصلتين خلال الفترة ذات الصلة. زعمت لجنة التجارة الفيدرالية لاحقًا أن ماريوت كانت مسؤولة عن إنشاء ومراجعة وتنفيذ ممارسات الأمان لكلتا الشركتين بعد الإغلاق.

25 مايو 2018: تصبح اللائحة العامة لحماية البيانات قابلة للتطبيق.يحدد هذا التاريخ النطاق القانوني لقرار مكتب مفوض المعلومات. بدأ الهجوم قبل سنوات، لكن إشعار الغرامة تناول معالجة ماريوت من 25 مايو حتى 17 سبتمبر 2018. قال مكتب مفوض المعلومات صراحة إنه لا يتوصل إلى نتيجة انتهاك للفترة بين الاستحواذ وقابلية تطبيق اللائحة العامة لحماية البيانات ولم يقرر ما إذا كان العناية الأعمق ممكنة أثناء الاستحواذ. هذا الحدود ضرورية. استخدم مكتب مفوض المعلومات النظام الموروث لتقييم واجبات المراقب المستمرة لماريوت بعد سريان اللائحة العامة لحماية البيانات، وليس لاختراع مسؤولية اللائحة العامة لحماية البيانات بأثر رجعي عن سلوك 2014 أو 2016. (إشعار غرامة مكتب مفوض المعلومات)

7-8 سبتمبر 2018: استعلام عدد يولد تنبيهًا.في 7 سبتمبر، استفسر حساب مسؤول عن عدد الصفوف في جدول ملفات تعريف الضيوف المحمي. أنشأ IBM Guardium تنبيهًا. اتصلت Accenture، التي تدير قاعدة بيانات حجز ضيوف ستاروود، بفريق تكنولوجيا المعلومات في ماريوت في 8 سبتمبر. علمت ماريوت أن الشخص الذي تم استخدام بيانات اعتماده لم يقم بالاستعلام. يتعلق التنبيه بجدول تم مراقبته لأنه تضمن تفاصيل البطاقة؛ قال مكتب مفوض المعلومات إن الجداول الأخرى بدون بيانات بطاقة الدفع تفتقر إلى تنبيهات مكافئة.

كان هذا اكتشاف إجراء شاذ، وليس معرفة فورية بكل الاختراق. أعاد الاستعلام عددًا، وليس محتويات الصفوف. أصبح نفس اليوم لاحقًا محل نزاع في تحليل مكتب مفوض المعلومات حول متى كانت ماريوت على علم بخرق البيانات الشخصية لأغراض الإخطار بموجب المادة 33. بعد النظر في تمثيلات ماريوت، لم يتوصل مكتب مفوض المعلومات إلى استنتاج نهائي بشأن الانتهاك بموجب المادة 33.

9-12 سبتمبر: استجابة الحوادث واستمرار نشاط المهاجم.استدعت ماريوت خطة الاستجابة لحوادث أمن المعلومات والخصوصية في حوالي 9 أو 10 سبتمبر وأحضرت محققين خارجيين في 10 سبتمبر. يقول مكتب مفوض المعلومات إن جدولًا آخر متعلق بجواز السفر تم تصديره إلى ملف تفريغ في ذلك اليوم. في 12 سبتمبر، بدأت ماريوت في نشر أدوات المراقبة في الوقت الفعلي والأدوات الجنائية عبر حوالي 70,000 جهاز من أجهزة ستاروود القديمة. حقيقة حدوث تصدير للبيانات بعد التنبيه الأول أمر جوهري؛ إنه يوضح لماذا يجب قياس توليد التنبيه، وتصعيد المحلل، والاحتواء، والاستئصال بشكل منفصل.

15-18 سبتمبر: بيانات الاعتماد والبرامج الضارة وتصعيد الحوكمة.حدد المحققون نشاطًا غير مصرح به يتضمن بيانات اعتماد موظفي Accenture من يوليو. وجدوا حصان طروادة للوصول عن بُعد في 17 سبتمبر ومنعوا عناوين التحكم والأوامر. شهد سورنسون أنه تم إبلاغه في ذلك اليوم وتم إخطار مجلس الإدارة في 18 سبتمبر. اختار مكتب مفوض المعلومات 17 سبتمبر كنهاية فترة الانتهاك لتحليل الغرامة لأن ذلك كان عندما تم تحديد حصان طروادة للوصول عن بُعد واحتوائه، وليس لأن كل سؤال جنائي تم حله.

أكتوبر 2018: يصبح الاختراق التاريخي مرئيًا.حدد المحققون أدلة على Mimikatz وبرامج مسح الذاكرة الضارة وتتبعوا الوجود غير المصرح به إلى يوليو 2014. اتصلت ماريوت بمكتب التحقيقات الفيدرالي في 29 أكتوبر. في هذه المرحلة، وفقًا لشهادة الشركة في مجلس الشيوخ، كان لدى المحققين أدلة على اختراق طويل ولكنهم لم يجدوا بعد أدلة على أن بيانات الضيوف في قاعدة بيانات الحجز قد تم الوصول إليها.

13-19 نوفمبر: الملفات المحذوفة تصبح دليلاً على تصدير بيانات الضيوف.في 13 نوفمبر، وجد المحققون آثار ملفين مضغوطين ومشفرين ومحذوفين. فكوا تشفيرهم في 19 نوفمبر ووجدوا صادرات لجداول ملفات تعريف الضيوف وجداول متعلقة بجواز السفر. كان ذلك التاريخ الذي قالت ماريوت إنها حددت فيه أن الملفات تحتوي على معلومات شخصية من قاعدة بيانات حجز ضيوف ستاروود. يشرح التمييز بين الشذوذ في سبتمبر والتأكيد في نوفمبر التأخير التحقيقي دون إثبات بحد ذاته أن كل قرار إخطار كان في الوقت المناسب.

22-30 نوفمبر: الإخطار التنظيمي والإفصاح العام.أبلغت ماريوت مكتب مفوض المعلومات في 22 نوفمبر. وجدت أدلة على نسخ جداول تاريخية إضافية في 25 و26 نوفمبر، وأبلغت شبكات بطاقات الدفع ومجموعة من السلطات، وأعلنت الحادث علنًا في 30 نوفمبر. قال إشعارها الأولي إن قاعدة البيانات كانت في الولايات المتحدة وتحتوي على سجلات تتعلق بالحجوزات في عقارات ستاروود في أو قبل 10 سبتمبر 2018. (إشعار حادث ماريوت نوفمبر 2018)

18-31 ديسمبر 2018: التقاعد.قال سورنسون إن ماريوت توقفت عن استخدام قاعدة بيانات حجز ضيوف ستاروود للعمليات التجارية في 18 ديسمبر. وصف تحديث ماريوت في يناير التخلص التدريجي على أنه ساري المفعول بحلول نهاية العام. أنهى التقاعد دورها في الحجوزات الحية، لكن التقاعد الآمن يتطلب أيضًا التخلص من النسخ وبيانات الاعتماد والمفاتيح والصور الجنائية والنسخ الاحتياطية والاحتفاظ القانوني. لا يقدم السجل العام دفتر أستاذ إتلاف كامل.

2019-2020: تغييرات النطاق وغرامة بريطانية نهائية.راجعت ماريوت أعدادها في يناير وفي تقريرها السنوي. أصدر مكتب مفوض المعلومات إشعار نية في يوليو 2019 يقترح 99,200,396 جنيهًا إسترلينيًا. بعد تمثيلات ماريوت الكتابية، والتشاور مع سلطات أوروبية أخرى، وتحليل التخفيف، وتعديل كوفيد-19، كانت الغرامة النهائية 18.4 مليون جنيه إسترليني في 30 أكتوبر 2020. قالت ماريوت إنها لن تستأنف لكنها لم تعترف بالمسؤولية. (رد ماريوت على قرار مكتب مفوض المعلومات النهائي)

أبريل 2024: وصف تشفير عمره خمس سنوات يتغير.أضافت ماريوت تحديثًا إلى إشعاراتها لعامي 2018 و2019: أرقام بطاقات الدفع وبعض أرقام جوازات السفر التي وُصفت بأنها محمية بتشفير AES-128 كانت بدلاً من ذلك محمية بـ SHA-1. لا يغير هذا التصحيح حقيقة الوصول غير المصرح به. إنه يغير كيفية تفسير القراء للتصريحات القديمة حول التشفير والمفاتيح.

أكتوبر-ديسمبر 2024: قرارات أمريكية موازية تصبح قابلة للتنفيذ.أعلن ائتلاف من 50 مدعيًا عامًا عن تسوية بقيمة 52 مليون دولار تغطي 131.5 مليون سجل ضيوف مرتبط بالولايات المتحدة وضمانات طويلة الأجل. أعلنت لجنة التجارة الفيدرالية عن تسوية موافقة موازية في أكتوبر ووضعت اللمسات الأخيرة على قرارها وأمرها في 20 ديسمبر. تناولت قضية لجنة التجارة الفيدرالية ثلاثة اختراقات من 2014 إلى 2020، لذلك لا ينتمي كل ادعاء أو علاج في تلك الإجراءات حصريًا إلى حادثة حجز ستاروود.

2025-2026: التقاضي الخاص يظل مسارًا منفصلاً.في يونيو 2025، نفذت الدائرة الرابعة تنازلًا عن الدعوى الجماعية وألغت التصديق على الفئات ضد ماريوت؛ لم تقرر مطالبات الاختراق الأساسية بعد محاكمة. (رأي الدائرة الرابعة) يقول نموذج 10-K لماريوت المودع في 10 فبراير 2026 إن بعض المدعين رفعوا دعاوى فردية في نيويورك، واستمرت مناقشات الوساطة في التقاضي الفيدرالي متعدد المقاطعات، وتم دمج المسائل الكندية بشكل فعال في أونتاريو، ونازعت ماريوت في الادعاءات. (نموذج 10-K لماريوت 2025)

الأرقام هي سجلات وأشخاص ومناطق وشرائح إجرائية

لا يمكن لرقم اختراق واحد أن يخدم كل غرض بأمان. تغيرت تقديرات ماريوت مع قيام المحققين بإزالة الازدواجية وتصنيف الجداول. استخدم المنظمون والمحاكم لاحقًا شرائح مختلفة مرتبطة بولايتهم القضائية أو إجراءاتهم.

الفرق بين السجل والشخص ليس تدبيرًا تحريريًا. قد يكون للضيف إقامات متعددة وعناوين ورفيقات وإدخالات ولاء أو ملفات تعريف مكررة. قد تحدد الجداول المختلفة نفس الشخص بطرق غير متسقة. أخبرت ماريوت مجلس الشيوخ أنها لا تستطيع أن تقرر بثقة ما إذا كانت الأسماء والعناوين المتطابقة أو المتشابهة تنتمي إلى شخص واحد أو عدة أشخاص. يجب أن يحل جرد البيانات القابل للدفاع عنه ما يكفي من مشكلة الهوية هذه قبل وقوع الحادث، وليس اكتشاف أثناء الإخطار أنه لا يستطيع ذكر عدد الأشخاص الذين يحتفظ بهم.

تنوعت الفئات أيضًا. قال إشعار ماريوت الأول إن ما يقرب من 327 مليون سجل يحتوي على مزيج من الاسم وعنوان البريد وتفاصيل الاتصال وتاريخ الميلاد ورقم جواز السفر ومعلومات ستاروود بريفرد جيست والجنس ومعلومات الوصول والمغادرة وتاريخ الحجز وتفضيلات الاتصال. تضمن البعض رقم بطاقة الدفع وتاريخ انتهاء الصلاحية. تم وصف الباقي على أنه اسم بالإضافة إلى، في بعض الحالات، حقل آخر مثل العنوان أو البريد الإلكتروني. "مزيج ما" هو تحذير من معاملة كل حقل مذكور على أنه موجود لكل ضيف.

يضيف حساب مكتب مفوض المعلومات على مستوى الجدول تفاصيل تشغيلية. تضمن جدول مشاركة الحجوزات معرفات الضيف والولاء وأعلام كبار الشخصيات وبلد جواز السفر ورقمه ومعلومات الوصول والمغادرة وتفاصيل الاتصال ورقم الرحلة ورمز شركة الطيران وحالة تسجيل الوصول وعدد الضيوف في الغرفة. تضمن جدول آخر نوع الغرفة وأعداد الضيوف البالغين والأطفال وأسرّة الأطفال أو الأسرة الإضافية المطلوبة. يمكن لهذه الحقول الكشف عن سياق الأسرة والسفر حتى بدون بيانات مالية.

تحركت أعداد جوازات السفر وبطاقات الدفع أيضًا. أدرج تحديث ماريوت في 4 يناير 2019 حوالي 5.25 مليون رقم جواز سفر غير مشفر و20.3 مليون رقم جواز سفر تم وصفها بعد ذلك بأنها مشفرة. أدرج حوالي 8.6 مليون بطاقة دفع تم وصفها بعد ذلك بأنها مشفرة، منها 354,000 بطاقة غير منتهية الصلاحية في سبتمبر 2018، وأقل من 2,000 قيمة مكونة من 15 أو 16 رقمًا في حقول أخرى قد تكون أرقام بطاقات غير مشفرة. (تحديث ماريوت يناير 2019)

بحلول نموذج 10-K لعام 2018 وشهادة مارس 2019، استخدمت الشركة ما يقرب من 18.5 مليون رقم جواز سفر محمي، و9.1 مليون بطاقة دفع محمية، و385,000 بطاقة غير منتهية الصلاحية اعتبارًا من سبتمبر 2018. قالت إن البيانات قد تتضمن عدة آلاف من أرقام بطاقات الدفع غير المشفرة. سجل التقرير السنوي أيضًا 28 مليون دولار من مصروفات الحادث لعام 2018، يقابلها جزئيًا 25 مليون دولار من استردادات التأمين المستحقة؛ تقيس هذه الإدخالات المحاسبية تكاليف الاستجابة، وليس الضرر الذي لحق بالضيوف. (نموذج 10-K لماريوت 2018)

لذلك فإن العرض الصحيح هو مجموعة من التقديرات المحددة، وليس منافسة لاختيار أكبر أو أحدث رقم. من المهم أيضًا الحفاظ على عدم اليقين في كلا الاتجاهين. السجلات المكررة تجعل عدد الأشخاص الفريدين أقل من إجمالي السجلات. الملفات غير المعروفة أو غير المستردة والقياس عن بعد التاريخي غير الكامل والحقول النصية الحرة يمكن أن تجعل إعادة البناء الدقيق على مستوى الحقل أكثر صعوبة.

ما وجده مكتب مفوض المعلومات، وما تعمد عدم إيجاده

إشعار غرامة مكتب مفوض المعلومات هو أقوى سجل عام قضائي لفشل الأمان في بيئة حجز ستاروود. إنه أيضًا أضيق مما توحي به العديد من الملخصات.

أولاً، وجد مكتب مفوض المعلومات أن ماريوت، كمراقب، انتهكت المادة 5(1)(و) والمادة 32 من اللائحة العامة لحماية البيانات بعدم معالجة البيانات الشخصية بأمان مناسب. غطى القرار الفترة من 25 مايو إلى 17 سبتمبر 2018. يجعلالنص الرسمي للائحة العامة لحماية البياناتالأمان قائمًا على المخاطر: التدابير المناسبة تعتمد على أحدث التقنيات وتكلفة التنفيذ وسياق المعالجة والمخاطر التي تهدد حقوق الأشخاص وحرياتهم. الالتزام ليس ضمانًا بعدم نجاح أي مهاجم. إنه التزام بتنفيذ واختبار التدابير المناسبة للبيانات والنظام الفعليين.

ثانيًا، حدد الإشعار النهائي أربعة إخفاقات رئيسية.

المراقبة غير الكافية للحسابات المميزة.استخدم المهاجم بيانات اعتماد مشروعة لنشاط غير مصرح به. وجد مكتب مفوض المعلومات أن ماريوت تفتقر إلى المراقبة المستمرة المناسبة لنشاط المستخدم، وخاصة الحسابات المميزة، داخل بيئة بيانات حامل البطاقة. كان لدى ماريوت مركز عمليات أمني واختبارات اختراق سنوية وتقارير امتثال لبطاقات الدفع. خلص المنظم إلى أن تلك الضوابط لم تقيم تكوينات التسجيل ذات الصلة ولم تحل محل الحاجة إلى اكتشاف الاستخدام غير الطبيعي بعد المصادقة.

المراقبة غير الكافية لقواعد البيانات.سجل Guardium ونبه على نشاط محدد، لكن مكتب مفوض المعلومات وجد تنبيه قاعدة بيانات غير مكتمل، وتجميع سجلات غير كافٍ، وفشل في تسجيل إجراءات مثل إنشاء الملفات وتصدير الجدول الكامل. تم تطبيق التنبيه الذي كان مهمًا في النهاية على جدول يحتوي على بيانات البطاقة. تفتقر جداول البيانات الشخصية الأخرى إلى التنبيهات المكافئة. يمكن أن تبرر حساسية بطاقة الدفع ضوابط أقوى، لكن المنظم قال إنها لا تبرر عدم التنبيه على البيانات الشخصية الأخرى.

السيطرة غير الكافية على الأنظمة الحيوية.وجد مكتب مفوض المعلومات أن التصلب المناسب للخادم، مثل التحكم في التنفيذ أو القائمة البيضاء المكافئة على الأنظمة الحيوية، كان يمكن أن يحد من الاستطلاع وتصعيد الامتيازات وتنفيذ البرامج الضارة. لم يصف القرار القائمة البيضاء في كل مكان. ركز على الأجهزة والأنظمة الحيوية القادرة على الوصول إلى مخازن البيانات الشخصية الكبيرة أو الحساسة.

الفشل في تشفير جميع أرقام جوازات السفر.ما يقرب من 5.25 مليون رقم جواز سفر كانت غير مشفرة. لم يجد مكتب مفوض المعلومات أي تقييم مخاطر موثق يشرح سبب حصول بعض أرقام جوازات السفر على حماية تشفيرية والبعض الآخر لم يحصل. لم تكن نقطته الأوسع أن كل حقل يجب أن يكون مشفرًا دائمًا. كان ذلك أن الحماية الانتقائية تحتاج إلى مبرر قائم على الأدلة وتنفيذ ذي معنى.

تصحيح SHA-1 لعام 2024 يعقد اللغة الفنية للاستنتاج الأخير. ناقش إشعار الغرامة AES-128 بناءً على السجل الذي كان أمامه آنذاك. قالت ماريوت لاحقًا إن أرقام بطاقات الدفع وبعض أرقام جوازات السفر في الجداول كانت محمية بدلاً من ذلك باستخدام SHA-1. يجب أن يحل هذا البيان اللاحق محل وصف الخوارزمية القديم لتلك المجموعات الفرعية؛ لا يمحو استنتاج مكتب مفوض المعلومات بأن ملايين أرقام جوازات السفر تركت غير مشفرة أو استنتاجه بأن ماريوت لم تظهر تقييمًا متسقًا للمخاطر.

الاستثناءات لا تقل أهمية.

لميفرضمكتب مفوض المعلومات غرامة على ماريوت لعدم اكتمال تغطية المصادقة متعددة العوامل. اعتمدت ماريوت على ضمانات إدارية وتقارير امتثال لبطاقات الدفع من 2016 و2017 تنص على أن المصادقة متعددة العوامل تحمي الوصول إلى بيئة حامل البطاقة المقسمة. كان التنفيذ غير مكتمل في الواقع، لكن بعد النظر في تمثيلات ماريوت، قبل مكتب مفوض المعلومات هذا الاعتماد للغرض المحدد أمامه وأزال المصادقة متعددة العوامل من استنتاجات الغرامة النهائية. لا يزال بإمكان الحساب الدقيق مناقشة الفجوة التشغيلية؛ لا يمكنه تسمية تلك الفجوة كواحدة من انتهاكات مكتب مفوض المعلومات النهائية الأربعة.

لميتوصلمكتب مفوض المعلومات إلى استنتاج نهائي بشأن الإخطار بانتهاك المادة 33. رفض بعضًا من منطق ماريوت القانوني بشأن الوعي لكنه نظر في التنبيه المحدود في سبتمبر، وعدم معرفة ماريوت بتصدير الجدول حتى 13 نوفمبر وفك التشفير في 19 نوفمبر، ثم أسقط الاستنتاج المقترح. كما لميتوصل إلى استنتاج نهائي بموجب المادة 34بشأن التواصل مع الأشخاص المتأثرين. انتقد المنظم رسالة بريد إلكتروني تشير إلى مركز اتصال دون تضمين رقم الهاتف، لكنه قبل أن الرابط الإلكتروني مرتبط بالموقع المخصص حيث كان الرقم متاحًا.

لميقررمكتب مفوض المعلومات أن العناية الواجبة قبل الإغلاق لماريوت كانت غير كافية قانونيًا. اعترف بأن العناية الواجبة العميقة لمنافس قد تكون مقيدة واستبعد السلوك قبل اللائحة العامة لحماية البيانات من القرار. خلص إلى أن العناية الواجبة ليست حدثًا لمرة واحدة وأن ماريوت لا يمكنها مواصلة المعالجة بموجب اللائحة العامة لحماية البيانات على أنظمة موروثة معيبة لمجرد أن نقاط الضعف سبقت القانون أو الاستحواذ.

أخيرًا، لا ينبغي الخلط بين رقم 18.4 مليون جنيه إسترليني والاقتراح لعام 2019. نظر الإشعار النهائي في طلبات ماريوت، والاستجابة السريعة بعد التنبيه، والتعاون، وغياب أدلة الضرر المالي التي رآها مكتب مفوض المعلومات، وعوامل تخفيف أخرى، وتأثير كوفيد-19. لم تستأنف ماريوت. بيانها بعدم الاعتراف يتعايش مع قرار منظم نهائي وجد انتهاكات صراحة. "لا اعتراف" يصف موقف ماريوت الإجرائي؛ لا يحول استنتاجات مكتب مفوض المعلومات إلى ادعاءات.

تصحيح 2024 يحول إدارة المفاتيح إلى مشكلة جرد

قال إشعار ماريوت الأصلي إن قيم بطاقات الدفع كانت مشفرة باستخدام AES-128 وتتطلب مكونين لفك التشفير؛ في ذلك الوقت لم تستطع الشركة استبعاد أخذ كليهما. قال تحديث يناير 2019 إنه لا يوجد دليل على أن المهاجم وصل إلى المفتاح الرئيسي اللازم لأرقام جوازات السفر المحمية أو أي من المكونين اللازمين لأرقام البطاقات المحمية. في شهادة مارس، قال سورنسون إن ماريوت لم تجد دليلاً على الوصول إلى المفتاح الرئيسي لكنها لم تستطع استبعاده.

صاغت تلك التصريحات المخاطرة على أنها نص مشفر بالإضافة إلى احتمال اختراق المفتاح. غير تحديث ماريوت في أبريل 2024 الإطار: أرقام بطاقات الدفع وبعض أرقام جوازات السفر في الجداول المتأثرة كانت محمية باستخدام SHA-1 بدلاً من AES-128. SHA-1 هي دالة تجزئة، وليس نظام تشفير. تصف NIST التجزئة على أنها تعيين البيانات إلى ملخص بحجم ثابت وتتخلى عن SHA-1 للحماية التشفيرية. (نظرة عامة على دوال التجزئة من NIST,إشعار انتقال NIST بعيدًا عن SHA-1)

هذا التمييز مهم. التشفير مصمم ليكون قابلاً للعكس بسر أو عملية مصرح بها. التجزئة تستخدم عادة لإنتاج ملخص ولا يتم "فك تشفيرها" بالمفتاح الرئيسي الموصوف في الإشعارات السابقة. لكن التصحيح العام لا يكشف ما إذا كانت القيم قد تم تمليحها أو تزويدها بمفتاح أو اقتطاعها أو ترقيمها في طبقة أخرى أو إقرانها بجداول بحث أو تحويلها بطريقة أخرى. كما لا يحدد المجموعات الفرعية الدقيقة لجواز السفر والبطاقة التي طبق عليها SHA-1 أو يقول ما إذا كان أي شخص قد استعاد المعرفات الأساسية من تلك القيم. سيكون من غير المسؤول اختلاق تلك التفاصيل.

استنتاج المساءلة أضيق ولا يزال مهمًا: بعد خمس سنوات من الإفصاح، غير الوصف العام لآلية الحماية الأساسية فئاته. يشير ذلك إلى فشل في الجرد التشفيري أو ترجمة الأدلة أو كليهما. يجب أن تعرف المؤسسة، لكل حقل ونسخة، ما إذا كانت البيانات نصًا واضحًا أو مشفرة أو مرمزة أو مجزأة؛ وما هي الخوارزمية والوضع المطبق؛ وأين تقع المفاتيح أو الأسرار؛ ومن يمكنه استدعاؤها؛ وما هي حالة الهجرة؛ وكيف تم اختبار تلك الحقائق.

هذا مهم بشكل خاص أثناء الاستحواذ. مستند سياسة يقول "الحقول الحساسة مشفرة" ليس جردًا على مستوى الحقل. تقرير امتثال لبطاقات الدفع ليس دليلاً على أن كل حقل جواز سفر في كل جدول قديم يتلقى نفس المعالجة. اسم خوارزمية في إشعار حادث ليس موثوقًا به حتى يتتبع المحققون كود التطبيق وتكوين المخطط وخدمات المفاتيح والقيم المخزنة والإصدارات التاريخية.

كما لا يمكن لإدارة المفاتيح الجيدة التعويض عن الاستخدام غير المنضبط من قبل تطبيق مصرح به. إذا كان المهاجم يتحكم في حساب مميز أو عملية قاعدة بيانات يمكنها طلب نص واضح، فقد يوفر التشفير في حالة السكون حماية قليلة أثناء الاستعلامات الحية أو التصدير. أوضح مكتب مفوض المعلومات هذه النقطة بشكل غير مباشر: المصادقة متعددة العوامل عند الحدود الخارجية لم تلغِ الحاجة إلى التسجيل في الداخل، والتشفير يعتمد على هندسة ذات معنى وإدارة مفاتيح. يجب أن تكون الضوابط متعددة الطبقات حول الاستخدام، وليس فقط مرتبطة بالتخزين.

البيانات في الولايات المتحدة ظلت محكومة بالأشخاص والقانون في أماكن أخرى

قال إشعار ماريوت الأول إن قاعدة بيانات حجز ضيوف ستاروود كانت في الولايات المتحدة. كانت السجلات عالمية. أحصى مكتب مفوض المعلومات 30.1 مليون سجل مرتبط بدول المنطقة الاقتصادية الأوروبية و7 ملايين مرتبط بالمملكة المتحدة. استخدمت الولايات لاحقًا 131.5 مليون سجل مرتبط بالولايات المتحدة. لذلك أجاب موقع قاعدة البيانات الفعلية على سؤال واحد: أين يعمل نظام معين. لم يجب عن من هم الأشخاص، وأي المنشآت عالجت بياناتهم، وأي السلطات لديها اختصاص، وأي فندق أو صاحب امتياز أو مزود خدمة أو فريق شركة يمكنه الوصول إليها.

يجب فصل سيادة البيانات والمحلية إلى أربع طبقات على الأقل.

محلية التخزينهي المكان الذي توجد فيه قواعد البيانات الأساسية والنسخ المتماثلة والنسخ الاحتياطية وملفات التصدير وسجلات المراقبة والنسخ الجنائية. يحدد السجل العام قاعدة بيانات الحجز على أنها مقرها الولايات المتحدة لكنه لا يقدم خريطة كاملة لكل نسخة أو نسخة احتياطية.

محلية الوصولهي المكان الذي يمكن للمستخدمين والخدمات والمسؤولين ممارسة السلطة على البيانات. تدير Accenture قاعدة البيانات؛ عمليات ستاروود وماريوت امتدت عبر العديد من البلدان؛ غذت عمليات الفنادق ومراكز الاتصال نظام الحجز. يمكن أن تبقى قاعدة البيانات على أجهزة أمريكية بينما يعبر الوصول المميز والقرارات التشغيلية الحدود.

محلية قانونيةتتبع الأشخاص والمنشآت والمعالجة والقانون المعمول به، وليس فقط الرفوف. عمل مكتب مفوض المعلومات كسلطة إشرافية رائدة للمعالجة عبر الحدود بموجب آلية تعاون اللائحة العامة لحماية البيانات. أكدت الولايات الأمريكية قوانين حماية المستهلك والمعلومات الشخصية الخاصة بها. لذلك يمكن لقاعدة بيانات مركزية أن تتراكم محيطًا قانونيًا موزعًا.

محلية الأعمالهي المكان الذي يكون للسجل فيه معنى. تواريخ الوصول والرفقاء وحالة كبار الشخصيات وشركة الطيران وموقع الفندق مرتبطة بحركة المسافر وعلاقاته. قد يدعم تمركزها الخدمة العالمية، لكنها تخلق أيضًا وصفًا مركزًا للنشاط عبر الولايات القضائية.

يقول بيان الخصوصية العالمي الحالي لماريوت إن النقل الدولي ضروري لخدمتها العالمية، وأن البيانات قد تنتقل إلى دول ذات معايير حماية مختلفة، وأن آليات النقل المعتمدة تستخدم عند الاقتضاء. كما ينص على معايير الاحتفاظ القائمة على الغرض والقانون. (بيان الخصوصية العالمي لمجموعة ماريوت) هذا دليل مفيد لنموذج الحوكمة الحالي، وليس دليلاً على بنية ستاروود 2014-2018 أو الامتثال التاريخي.

الدرس ليس أن بيانات الحجز العالمية يجب أن تبقى دائمًا في بلد المسافر. تدعم الأدلة قاعدة أكثر عملية: يحتاج المراقب العالمي إلى خريطة على مستوى السجل تربط الغرض والشخص والمصدر والتخزين والوصول وآلية النقل والاحتفاظ وضوابط الأمان والكيان القانوني المسؤول. بدون تلك الخريطة، تصبح "قاعدة البيانات في الولايات المتحدة" حقيقة موقع تُقدم كما لو كانت إجابة حوكمة.

السجل المكشوف خفض تكلفة الاتصال المقنع

بطاقات الدفع وجوازات السفر تجذب الانتباه الفوري لأنها أدوات هوية ومالية مألوفة. احتوت جداول ستاروود أيضًا على مصدر أكثر هدوءًا للضرر: مكونات الاتصال ذات المصداقية.

تدفع رسالة التصيد العادية ضريبة مصداقية. يجب على المرسل إقناع المستلم بأن الرسالة تتعلق بعلاقة حقيقية أو حدث أو معاملة. يمكن لمجموعة بيانات الحجز تقليل هذه التكلفة. يمكن للرسالة تسمية علامة فندقية، وإقامة تقريبية، وعلاقة ولاء، ونافذة وصول، ووجهة، وسياق رفيق، وتفضيل اتصال، أو رحلة. توفر تفاصيل الاتصال الطريق؛ توفر تفاصيل السفر الذريعة؛ تساعد حقول الحالة والتفضيل في تحديد النبرة.

هذا هو اقتصاد اتصال إساءة الاستخدام. لا يحتاج السجل إلى السماح للمهاجم بفتح حساب مصرفي مباشرة ليكون مفيدًا. يمكن أن يجعل الطلب التالي أرخص في التخصيص وأصعب على المستلم رفضه. تعرف CISA التصيد الموجه على أنه استهداف فرد بمعلومات رئيسية عن ذلك الشخص. (إرشادات التصيد من CISA) حذر تنبيه المستهلك لماريوت من لجنة التجارة الفيدرالية من أن المحتالين قد يستغلون إعلان الاختراق نفسه عن طريق انتحال شخصية ماريوت وتوجيه المستلمين إلى مواقع مزيفة. (نصيحة لجنة التجارة الفيدرالية بشأن اختراق ماريوت)

جمعت قاعدة البيانات عدة مسارات إساءة:

• الاسم والبريد الإلكتروني ورقم الهاتف يقللون من تكلفة الاكتشاف ويتيحون تبديل القناة من البريد الإلكتروني إلى النص أو الصوت.
• تفاصيل الحجز والإقامة توفر قصة مشكلة خدمة معقولة، أو استرداد أموال، أو فاتورة، أو تعديل ولاء، أو تحذير أمني.
• بيانات الوصول والمغادرة وشركة الطيران والموقع يمكن أن تجعل الإلحاح يبدو معاصرًا.
• معرفات الولاء تخلق فئة أصول ثانية: النقاط والوصول إلى الحساب وعلاقة عملاء طويلة الأمد.
• أرقام جوازات السفر وتواريخ الميلاد يمكن أن تقوي محاولات انتحال الشخصية أو توفر أجزاء تحقق، حتى لو كان رقم جواز السفر وحده ليس جواز سفر ماديًا.
• حالة كبار الشخصيات أو صاحب العمل أو سياق التفضيل يمكن أن يساعد في تحديد أولويات الأهداف أو تخصيص اتصال تنفيذي.
• عدادات الرفقاء والأطفال يمكن أن تكشف عن سياق علائقي لم يتوقع الشخص المتأثر استخدامه خارج عمليات الضيافة.

هذه آليات إساءة محتملة تدعمها الحقول وإرشادات الاحتيال العامة. إنها ليست دليلاً على أن حملة مسماة استخدمت سجلات ستاروود. في مارس 2019، شهد سورنسون أن ماريوت لم تتلق مطالبات احتيال مثبتة تعزى إلى الحادث ولم تجد الجداول المتأثرة معروضة للبيع في مراقبتها. قال مكتب مفوض المعلومات لاحقًا إنه لم ير أدلة على ضرر مالي. على النقيض من ذلك، زعمت شكوى لجنة التجارة الفيدرالية أن السجلات التفصيلية تسببت أو كانت من المحتمل أن تسبب ضررًا جسيمًا، بما في ذلك التصيد وسوء استخدام الهوية وعبء مراقبة واستبدال بيانات الاعتماد.

الفرق جزئيًا في الموقف القانوني وجزئيًا في الوقت: غياب سوء الاستخدام الملاحظ ليس دليلاً على عدم التعرض، لكن الضرر المحتمل ليس دليلاً على احتيال مكتمل.

يؤثر اقتصاد الاتصال أيضًا على الإخطار. احتاجت ماريوت إلى إرسال بريد إلكتروني للضيوف المتأثرين، لكن وجود حملة إخطار واسعة النشر خلق ذريعة للمنتحلين. يجب أن تكون إشعارات الشركة الحقيقية قابلة للتمييز ومتعددة اللغات ويمكن الوصول إليها من خلال قنوات يمكن التحقق منها بشكل مستقل. يُظهر نقاش مكتب مفوض المعلومات حول رقم مركز الاتصال المحذوف أن جودة الإخطار هي عنصر تحكم أمني، وليس ملحقًا للعلاقات العامة.

العلاج طويل الأمد هو تقليل البيانات. إذا لم يعد الحقل مطلوبًا للخدمة أو القانون أو منع الاحتيال أو غرض تشغيلي محدد، فإن الاحتفاظ به يحافظ على دعم المهاجم. يتطلب الأمر النهائي للجنة التجارة الفيدرالية سياسة احتفاظ مرتبطة بغرض الجمع والحاجة التجارية المحددة، وطريق حذف للمستهلكين الأمريكيين، وحدود لاستخدام المعلومات المحذوفة للتسويق. يحول الأمر سطح الإساءة المخفض إلى التزام حوكمة.

ثلاثة سجلات إنفاذ، ثلاثة أنواع مختلفة من المساءلة

لا ينبغي دمج غرامة مكتب مفوض المعلومات والتسوية الحكومية وأمر لجنة التجارة الفيدرالية في غرامة واحدة غير متمايزة.

غرامة مكتب مفوض المعلوماتهي قرار إداري نهائي يجد انتهاكات للائحة العامة لحماية البيانات لفترة محددة من 2018. فرضت 18.4 مليون جنيه إسترليني. لم تستأنف ماريوت لكنها قالت إنها لا تعترف بالمسؤولية. الاستنتاج وحساب الغرامة والاستثناءات واردة في إشعار من 91 صفحة.

التسوية متعددة الولاياتحلت ادعاءات الولايات وطلبت دفع 52 مليون دولار. يقول إعلان كونيتيكت إن الائتلاف زعم انتهاكات قوانين حماية المستهلك والمعلومات الشخصية وقوانين الإخطار بالاختراق حيثما ينطبق ذلك. تتطلب برنامج أمن معلومات شامل، ومبادئ الثقة الصفرية، وجرد الأصول، والتصلب، والتشفير، والتجزئة، والتصحيح، والمراقبة، والإشراف على البائعين وأصحاب الامتياز، وحذف المستهلك، وحماية الولاء، وتقييم الكيان المستحوذ عليه، ومراجعات مستقلة كل سنتين لمدة 20 عامًا. (إعلان تسوية المدعي العام لكونيتيكت) تنص الأحكام المقدمة على أن ماريوت لا تعترف بانتهاك أو مسؤولية؛ دفعة التسوية ليست حكم محاكمة لكل شخص متأثر. (حكم فيرمونت النهائي)

مسألة لجنة التجارة الفيدراليةهي إجراء موافقة إداري. تزعم الشكوى تمثيلات أمنية خادعة وممارسات أمنية غير عادلة عبر اختراق نقاط بيع ستاروود السابق واختراق حجز ستاروود وحادث لاحق لبيانات اعتماد ماريوت تم الكشف عنه في 2020. يجب تحديد الادعاءات في الشكوى على أنها ادعاءات. القرار والأمر النهائي ملزمان بغض النظر عما إذا كان كل ادعاء قد تم اختباره في المحكمة.

يتطلبالأمر النهائي للجنة التجارة الفيدراليةبرنامج أمان مكتوب، وتقييمات مخاطر سنوية وبعد الحادث، وإبلاغ مجلس الإدارة، ومراجعة نشطة للسجلات في غضون 24 ساعة، وضوابط على إساءة استخدام بيانات الاعتماد الصالحة، وأقل امتياز، ومصادقة متعددة العوامل، وتصلب التكوين، وجرد الأصول والبيانات الشخصية، وقرارات التشفير أو الحماية المكافئة، وإدارة التصحيح، والتجزئة واختبار الاختراق، وضوابط البائعين، والإشراف على أصحاب الامتياز، والإبلاغ عن الحوادث، وشهادة الرئيس التنفيذي، وتقييمات مستقلة كل عامين لمدة 20 عامًا.

يجعل أحد الأحكام درس الاستحواذ صريحًا. بعد أن تغلق ماريوت استحواذ كيان يعالج معلومات شخصية، يجب عليها تقييم ما إذا كان برنامج الكيان المستحوذ عليه يتوافق مع الأمر، وإنشاء خطة وجدول زمني للفجوات، ومعالجة أوجه القصور في أصول تكنولوجيا المعلومات المستحوذ عليها قبل استخدامها كأصول إنتاج ماريوت. لا يتطلب هذا المعرفة المطلقة قبل الإغلاق. يتطلب الدخول الخاضع للرقابة إلى الإنتاج بعد الإغلاق.

يمنح الأمر أيضًا المستهلكين الأمريكيين مسار طلب حذف مرتبط بعنوان البريد الإلكتروني أو رقم حساب الولاء ويطلب من ماريوت مراجعة نشاط الولاء المشتبه في كونه غير مصرح به واستعادة النقاط عندما تحدد أن نشاطًا غير مصرح به من طرف ثالث تسبب في تخفيض، مع مراعاة شروط الأمر.شرح لجنة التجارة الفيدرالية للمستهلكيجعل تلك العلاجات أسهل في الرؤية من الوثيقة القانونية.

لا يثبت الإنفاذ فعالية السيطرة الحالية. الأمر يحدد الواجبات؛ المقيِّم يختبر التنفيذ؛ الشهادة تخصص المسؤولية. لا يزال القراء العامون لا يمتلكون تقارير التقييم المستقل أو سجلات الاستثناءات المفصلة أو الجرد التشفيري على مستوى الحقل. يقول التقرير السنوي لماريوت لعام 2025 إن القرارات تخلق متطلبات طويلة الأجل وأن عدم الامتثال قد يؤدي إلى إنفاذ إضافي. كما يصف لجنة الإشراف على التكنولوجيا وأمن المعلومات في مجلس الإدارة وعمليات المخاطر السيبرانية المستمرة. تلك هياكل حوكمة وتمثيلات شركة، وليس رأي ضمان عام.

يضيف التقاضي الخاص طريقًا آخر للمساءلة لكن ليس حكم مسؤولية نظيف. قرار الدائرة الرابعة لعام 2025 تركز على قابلية إنفاذ التنازل عن الدعوى الجماعية في شروط الولاء. إلغاء التصديق يغير كيفية تجميع المطالبات؛ لا يقرر ما إذا كان الأمان معقولاً، أو ما إذا كان شخص معين عانى من خسارة، أو ما إذا كانت كل مطالبة فردية تفشل. يقول أحدث تقرير سنوي لماريوت إنها تنازع في الادعاءات وأن الإجراءات استمرت حتى نهاية عام 2025.

بطاقة أداء التحكم بعد الاستحواذ

سؤال مجلس الإدارة المفيد ليس "هل حدثت العناية الواجبة؟" إنه "أي من الادعاءات الموروثة تم تحويلها بشكل مستقل إلى أدلة تشغيلية؟"

لا تفترض بطاقة الأداء هذه أن كل عنصر تحكم كان غائبًا في كل مكان. إنها تترجم أوضاع الفشل الموثقة إلى أسئلة إثبات. هذا معيار أكثر تطلبًا من قائمة مراجعة السياسات لأنه يسأل عما إذا كانت الأنظمة الموروثة تتصرف كما تعتقد الإدارة أنها تفعل.

المساءلة تنتمي إلى حيث يتغير التحكم العملي

المتسلل أو المتسللون غير المعروفين مسؤولون عن الدخول غير المصرح به والاستمرارية والتصدير. لا ينبغي إعادة تخصيص هذه المسؤولية للمؤسسة الضحية لمجرد أن المنظمين يفحصون الضمانات. تتناول مساءلة الشركات سؤالًا مختلفًا: من الذي سيطر على الظروف التي جعلت الوصول أصعب في المنع أو الاكتشاف أو الاحتواء، ومن الذي سيطر على الاستجابة؟

سيطرت ستاروود على البيئة عند الاختراق الأولي. ماريوت لم تفعل. حملت ستاروود أيضًا تاريخ الأمن السابق لنقاط البيع إلى الصفقة. هذه الحقائق مهمة عند إعادة بناء السببية.

سيطرت ماريوت على الشركة المستحوذ عليها بعد سبتمبر 2016. اختارت الاستمرار في منصة حجز ستاروود أثناء الهجرة، حتى لأسباب الاستمرارية المفهومة. سيطرت على وتيرة وشروط تعزيز الأمان والتكامل والتقاعد. تبدأ النتائج القانونية لمكتب مفوض المعلومات لاحقًا، في 25 مايو 2018، لكن السيطرة التشغيلية بدأت عند الإغلاق.

أدارت Accenture قاعدة بيانات الحجز ورفعت تنبيه Guardium. تحدد السجلات العامة أيضًا بيانات اعتماد Accenture المخترقة. تثبت هذه الحقائق دور مزود خدمة مهم، وليس تخصيصًا كاملاً للخطأ التعاقدي أو القانوني. تضمن التقاضي الخاص دعاوى ضد Accenture، لكن هذه المقالة لا تعامل الادعاءات غير المحسومة كأحكام.

سيطر مجالس الإدارة والإدارة العليا على قبول المخاطر وطلبات الأدلة. قال سورنسون إنه علم بحصان طروادة للوصول عن بُعد في 17 سبتمبر وأُبلغ مجلس الإدارة في اليوم التالي. يتطلب أمر لجنة التجارة الفيدرالية اللاحق الآن رؤية مجلس الإدارة سنويًا وتقارير الحوادث، بينما تخلق شهادة الرئيس التنفيذي قناة مساءلة مباشرة. الحوكمة ليست مجلس الإدارة الذي يدير SIEM؛ إنها مجلس الإدارة الذي يطلب أدلة على أن المخاطر الموروثة عالية العواقب لها ملاك ومواعيد نهائية وإغلاق مثبت.

سيطر المنظمون على علاجات مختلفة. طبق مكتب مفوض المعلومات إطار حماية بيانات عبر الحدود وأصدر غرامة معللة. حصل المدعون العامون للولايات على أموال وحقوق المستهلك وضمانات مفصلة. فرضت لجنة التجارة الفيدرالية برنامجًا ونظام تقييم طويل الأمد لكنها قالت إنها تفتقر إلى السلطة للحصول على عقوبة مدنية في تلك القضية. تنتج السلطات القانونية المختلفة مخرجات مساءلة مختلفة.

سيطر الضيوف على لا شيء تقريبًا من ظروف ما قبل الاختراق. لم يتمكنوا من فحص تغطية التسجيل، أو معرفة أن حقول جواز السفر كانت ذات حماية غير متسقة، أو رؤية أن المهاجم استخدم بيانات اعتماد مميزة، أو اختيار ما إذا كان النظام القديم لا يزال نشطًا. ينقل المراقبة بعد الاختراق واستبدال البطاقة والحذر من التصيد العمل إليهم. تساعد حقوق الحذف ومراجعة الولاء، لكنها تأتي بعد أن اختارت المؤسسة بنية البيانات.

ما يمكن استنتاجه، وما يبقى خارج السجل العام

تدعم الأدلة العامة استنتاجًا قويًا بأن بيئة حجز ستاروود ظلت مخترقة عبر الاستحواذ وأن ماريوت لم تكتشف المتسلل لمدة عامين تقريبًا بعد الإغلاق. تدعم استنتاجات مكتب مفوض المعلومات الأربعة بموجب اللائحة العامة لحماية البيانات للفترة المحددة لعام 2018. تدعم حقيقة الشرائح الكبيرة المختلطة من السجلات العالمية، والتسويات الأمريكية لعام 2024، والضمانات القابلة للتنفيذ الناتجة.

لا تحدد المهاجم من خلال حكم جنائي عام. حملت التقارير الإخبارية نظريات جهات فاعلة دولية، لكن السجلات الرسمية التي تمت مراجعتها تصف مهاجمًا غير معروف أو جهات فاعلة ضارة. يجب أن يظل الإسناد غير مطالب به في غياب وثيقة اتهام عامة أو دليل موثوق مكافئ.

لا تظهر بالضبط أي ثغرة أولى تم استغلالها، أو كل مضيف تم الوصول إليه، أو كل ملف تمت إزالته، أو كل شخص تم الوصول إلى بياناته. لا تكشف عن تقرير Verizon الجنائي الكامل، أو تقرير بطاقات الدفع الجنائي، أو تقييمات الامتثال المستقلة، أو مجموعة السجلات التاريخية الكاملة.

لا تثبت أن كل ضيف متأثر عانى من احتيال، أو أن أي ضيف لم يعاني من ضرر، أو أن كل مجموعة بيانات كانت لها قيمة متساوية. ملاحظة ماريوت لعام 2019 بعدم وجود احتيال مثبت يعزى إليه وعدم وجود ضرر مالي ملاحظ من مكتب مفوض المعلومات هي أدلة. كذلك مخاطر انتحال الشخصية والاتصال المستهدف المعترف بها من قبل لجنة التجارة الفيدرالية. الاستنتاج الصادق يحافظ على كليهما.

لا تخبر الجمهور بما يكفي عن تنفيذ SHA-1 لتقدير قابلية استرداد قيم بطاقات أو جوازات سفر محددة. يثبت التصحيح تصنيفًا خاطئًا لطريقة الحماية، وليس تفاصيل التكوين المفقودة.

لا تثبت أن برنامج ماريوت الحالي غير فعال. ولا تثبت السياسات واللجان والإنفاق والتسويات التنظيمية وقاعدة البيانات المتقاعدة أن جميع ضوابط الخلف فعالة. هذا السؤال ينتمي إلى الاختبار التشغيلي والتقييم المستقل.

درس الاندماج هو ملكية عدم اليقين

أقوى درس من ماريوت وستاروود ليس أن الشركات يجب أن تتخلى عن عمليات الاستحواذ التي تنطوي على تكنولوجيا قديمة. كل صفقة كبيرة تقريبًا تحمل أنظمة غير معروفة وسجلات غير متساوية واستثناءات موروثة. ولا الدرس هو أنه يجب التضحية بالاستمرارية لتقاعد كل منصة مستحوذ عليها فورًا. كان نقل 1,270 فندقًا مع الحفاظ على الحجوزات قيدًا تشغيليًا حقيقيًا.

الدرس هو أن عدم اليقين نفسه يصبح خطرًا مملوكًا عند الإغلاق. يمكن للمشتري أن يعترف بالوصول المحدود قبل الإغلاق دون قبول الغموض غير المحدد بعد الإغلاق. يمكنه عزل شبكة موروثة دون الخلط بين العزل والأمان. يمكنه الحفاظ على قاعدة بيانات قديمة مؤقتًا دون منحها معايير مؤقتة. يمكنه الاعتماد على تقارير الامتثال أثناء اختبار الضوابط التي لا تغطيها تلك التقارير. يمكنه وصف التشفير فقط بعد تتبع التنفيذ الفعلي على مستوى الحقل.

احتوت قاعدة بيانات ستاروود على نموذج عمل مصغر: الهوية والاتصال والولاء والدفع والحركة مجمعة لجعل الضيافة تعمل عبر الحدود. نفس التجميع جعل الإساءة أكثر اقتصادية والمساءلة القانونية أكثر توزيعًا. موقعه الفعلي في الولايات المتحدة لم يحدد الأشخاص أو الأضرار أو الواجبات. وضعه الموروث لم يعلق التزامات المراقب.

يكتب أمر لجنة التجارة الفيدرالية لعام 2024 الآن مبدأ الاستحواذ بلغة قابلة للتنفيذ: تقييم الكيان المستحوذ عليه بعد الإغلاق، والتخطيط ضد الفجوات المحددة، ومعالجة أوجه القصور قبل أن تدخل الأصول المستحوذ عليها إنتاج ماريوت. هذه القاعدة أضيق من المعرفة المطلقة وأقوى من مسرح العناية الواجبة. تطلب من المالك تحويل التمثيلات إلى أدلة قبل أن تتوسع الثقة.

اشترت ماريوت علامات ستاروود التجارية وفنادقها وعلاقات الولاء وأنظمتها. اشترت أيضًا عبء اكتشاف ما كانت تفعله تلك الأنظمة بالفعل. يظهر سجل الاختراق كم يمكن أن تصبح المسافة بين الاعتقاد المعماري والحقيقة التشغيلية مكلفة. تبدأ المساءلة بإغلاق تلك المسافة قبل أن يضطر التنبيه التالي إلى القيام بذلك.