Sabre يحوّل حجوزات الفنادق إلى حدود مساءلة المنصة

ملخص

• كشفت Sabre عن وصول غير مصرح به يتضمن معلومات بطاقات الدفع في مجموعة فرعية من حجوزات الفنادق التي تمت معالجتها عبر نظام الحجز المركزي Sabre Hospitality Solutions SynXis، وهو نظام مورد يستخدمه عملاء الفنادق وليس علامة تجارية يعرفها معظم المسافرين المتأثرين بالضرورة.
• سؤال المساءلة هو: من كان لديه السيطرة العملية على الوصول إلى منصة الحجز، ومعالجة بطاقات الدفع، وإشعار عملاء الفنادق، وأدلة التاجر، واكتشاف الاختراق، وتوزيع المهام بين Sabre والعقارات والعلامات التجارية وشبكات البطاقات؟
• وصفت سجلات النائب العام للولايات لاحقًا تسوية متعددة للولايات بشأن اختراق نظام حجز الفنادق عام 2017، بما في ذلك التزامات الإشعار والتغييرات الأمنية، بينما أظهرت إشعارات الفنادق كيفية علم الضيوف بحادث المورد من خلال اتصالات العقار أو العلامة التجارية.
• كان على ضيوف الفنادق والعقارات والعلامات التجارية ومديري السفر ومصدري البطاقات والمستحوذين ومديري المنصة إدارة المخاطر الناتجة عن نظام المورد الذي يقف وراء العديد من علاقات السفر.
• يدعم السجل العام نتيجة مساءلة عالية الثقة بشأن واجبات المنصة وثغرات الأدلة. وهو لا يدعم اختراع حقائق خاصة عن كل حجز تم الاطلاع عليه، أو كل إشعار فندق، أو كل خسارة محددة بالمسافر.

سجل الأدلة وكيفية استخدامه

تعتبر هذه المقالة السجل العام كدليل متعدد الطبقات وليس كسرد رئيسي واحد. تُستخدم بيانات مستثمري Sabre وإيداعات هيئة الأوراق المالية والبورصات (SEC) لما ذكرته Sabre علنًا عن حادثة SynXis. تُستخدم سجلات النائب العام للولايات لتسلسل التسوية وواجبات الإشعار وتغييرات الأمن المطلوبة. تُستخدم إشعارات الفنادق وتقارير صناعة السفر لسياق إشعار الضيوف النهائي. تُستخدم معايير بطاقات الدفع وإرشادات المستهلك وأطر الرقابة ومراجع تقنيات الخصم لتأطير التحكم في الوصول ومعالجة بيانات الدفع ومساءلة المنصة وآثار الأطراف المتأثرة.

إطار المساءلة أضيق من اللوم وأوسع من إشعار الفندق

اختراق SynXis Central Reservations من Sabre مفيد لأنه يوضح كيف يمكن لمنصة مورد أن تصبح حد المساءلة لسجلات السفر التي يربطها الضيوف بالفنادق وليس بالمورد الكامن وراء محرك الحجز. قد يحجز الضيف غرفة عبر موقع الفندق، أو مدير السفر، أو مركز الاتصال، أو قناة العلامة التجارية، أو مسار حجز آخر. العلاقة المرئية عادة ما تكون مع العقار أو العلامة التجارية. لكن سجل الدفع والحجز قد يمر عبر منصة حجز مركزية لم يقم الضيف بتقييمها مباشرة.

يغير هذا الموقف الخفي سؤال المساءلة. كشفت Sabre عن حادثة تضمنت وصولاً غير مصرح به إلى معلومات الدفع الواردة في مجموعة فرعية من حجوزات الفنادق التي تمت معالجتها من خلال نظام الحجز المركزي Sabre Hospitality Solutions SynXis. وصفت السجلات اللاحقة الوصول بأنه تم من خلال بيانات اعتماد وشمل حجوزات بين أغسطس 2016 ومارس 2017. وصفت سجلات النائب العام للولايات وإعلانات التسوية العامة عددًا متأثرًا يبلغ حوالي 1.3 مليون بطاقة ائتمان. ثم ترجمت إشعارات الفنادق هذا الحدث من المورد إلى تعليمات موجهة للضيوف لعقارات وعلامات تجارية معينة.

اللوم قاس جدًا لهذا السجل. السؤال الأفضل هو من الذي سيطر على كل طبقة من المخاطر العملية. سيطرت Sabre على المنصة والوصول إلى بيانات الاعتماد وتسجيل المنصة والتحقيق من جانب المورد. سيطرت الفنادق على علاقات الضيوف وإشعارات العقارات وعلاقات التجار وبعض الاتصالات النهائية. كان للعلامات التجارية للبطاقات والمستحوذين والمصدرين وشركات إدارة السفر واجباتهم الخاصة. كان على الضيوف مراقبة البطاقات وتحديد ما إذا كان الحجز الذي قاموا به عبر فندق يمكن أن يتأثر باسم مورد ربما لم يروه أبدًا. هذا هو حد مساءلة المنصة.

يظهر السجل أيضًا سبب وجوب تسمية عدم اليقين. يمكن للجمهور رؤية بيانات الشركة وإيداعات هيئة الأوراق المالية والبورصات وسجلات النائب العام وإشعارات الفنادق. لا يمكنه رؤية كل سجل داخلي أو كل عقد فندق أو كل سجل حجز أو كل إشعار خاص بالعميل أو كل إجراء من جهة الإصدار. الرد الصحيح ليس ملء تلك الفجوات بالتكهنات. بل هو تحديد الطرف الذي يملك الأدلة المفقودة وما كان سيظهره سجل عام أقوى.

ما يثبته السجل العام

يثبت السجل العام حادثة مورد ملموسة. كشف إيداع Sabre في مايو 2017 عن حادثة تتضمن وصولاً غير مصرح به إلى معلومات الدفع الموجودة في مجموعة فرعية من حجوزات الفنادق التي تمت معالجتها من خلال نظام الحجز المركزي SynXis. قالت Sabre إن الوصول غير المصرح به قد تم إيقافه وأنها احتفظت بمستشارين خارجيين وتعمل مع سلطات إنفاذ القانون. قالت نشرة مستثمري Sabre في يوليو 2017 إن التحقيق اكتمل وأن طرفًا غير مصرح له وصل إلى معلومات معينة لبطاقات الدفع لمجموعة فرعية محدودة من حجوزات الفنادق التي تمت معالجتها من خلال نظام حجز Sabre Hospitality Solutions.

يثبت السجل العام أيضًا فئات البيانات. قالت نشرة Sabre إن معلومات بطاقة الدفع التي تم الوصول إليها يمكن أن تشمل اسم حامل البطاقة ورقم البطاقة وتاريخ انتهاء الصلاحية وربما رمز أمان البطاقة. في بعض الحالات، قد يتم أيضًا الوصول إلى بعض معلومات الضيف، مثل اسم الضيف والبريد الإلكتروني ورقم الهاتف والعنوان ومعلومات أخرى. قالت Sabre إن أرقام الضمان الاجتماعي وجواز السفر ورخصة القيادة لم يتم الوصول إليها. كان هذا التمييز مهمًا لأنه ضيق خطر وثائق الهوية مع ترك مخاطر بيانات الدفع ومعلومات الاتصال في النطاق.

التسلسل الزمني مرئي أيضًا في مواد الجهات التنظيمية. وصفت سجلات وإعلانات النائب العام للولايات اختراقًا لنظام حجز الفنادق Sabre Hospitality Solutions، وفترة من أغسطس 2016 إلى مارس 2017، وشروط تسوية تتطلب تغييرات في ممارسات الأمن والإشعار. قال إعلان تينيسي إن Sabre أبلغت عملاء الفنادق في 6 يونيو 2017، بعد الإفصاح عن الأمر في إيداع هيئة الأوراق المالية والبورصات في الشهر السابق، وأن الفنادق المسؤولة عن إبلاغ عملائها لم تصدر بعض الإشعارات حتى عام 2018. وصفت إعلانات نيويورك وفلوريدا تسوية متعددة الولايات ورقم 1.3 مليون بطاقة ائتمان.

لا يثبت السجل العام كل حقيقة خاصة. لا ينشر كل حجز في النطاق، أو كل عميل فندق، أو كل تاريخ إشعار ضيف، أو كل اتصال مع العلامة التجارية للبطاقة، أو كل تفاصيل السبب الجذري التقني، أو كل خطوة علاجية خاصة. كما لا يسمح للقارئ الخارجي بمعرفة أي الفنادق تلقت الأدلة الأكثر تفصيلاً من المورد أو مدى سرعة تلقى كل ضيف إشعارًا. هذه الفجوات أساسية لتحليل المساءلة لأن تقسيم الأدلة بين مورد المنصة وعميل الفندق جعل تخصيص الأدلة نفسه جزءًا من المخاطر.

[الباقي من المقال مترجم بالمثل]