Marriott と Starwood: Marriott が買収した予約データベースと、受け継いだセキュリティの真実

サマリー

• 受け継いだ運用上の真実：侵入者は 2014 年 7 月下旬にスターウッド環境に侵入し、マリオットがスターウッドの買収を完了した 2016 年 9 月 23 日より 2 年以上前であった。マリオットが最初の侵害を引き起こしたわけではない。しかし、買収完了後、同社はまだ稼働中の予約システムと世界中の顧客記録を抱える企業を支配下に置き、これらはマリオットの資産として管理されなければならなかった。その間、レガシーネットワークとマリオットのネットワークは分離されたままだった。
• タイムラインと範囲：データベース監視アラートが 2018 年 9 月 7 日に生成され、9 月 8 日にマリオットへエスカレーションされた。調査チームは 9 月 17 日にリモートアクセス型トロイの木馬を発見し、11 月 13 日に削除された暗号化エクスポートファイルを特定、11 月 19 日に 2 つのファイルを復号、11 月 22 日に英国規制当局へ通知、11 月 30 日に公表した。マリオットの当初の上限 5 億人のゲストは、後に上限 3 億 8300 万件のレコードとなり、さらに規制記録では世界で 3 億 3900 万件とされた。これらの数字はいずれもユニークな個人の正確なカウントではない。
• データと管理に関する所見：漏洩した組み合わせには、連絡先詳細、生年月日、パスポート識別子、ロイヤルティデータ、予約・宿泊情報、支払いカードデータが含まれていた。英国情報コミッショナーオフィス（ICO）は、GDPR 期間のみについて 4 つの主要な所見を下した。特権アカウントの監視不十分、データベース監視不十分、重要システムの管理不適切、すべてのパスポート番号の暗号化の怠りである。同オフィスは GDPR 第 33 条または第 34 条に基づく最終所見は下さず、マリオットの主張を考慮した上で、不完全な多要素認証の適用範囲を罰金から除外した。
• 執行後の説明責任：ICO は 2020 年に 1840 万ポンドの制裁金を科した。2024 年には州司法長官らが 5200 万ドルの和解に達し、連邦取引委員会（FTC）はセキュリティガバナンス、被買収企業の評価、監視、アクセス、強化、暗号化、データ保持、独立評価をカバーする 20 年間の命令を課した。マリオットは ICO の手続きや複数州和解において責任を認めなかった。こうした手続き上の限界は重要だが、買収が法的取引を完了しても、買収環境の真実性を証明するわけではないという運用上の教訓を薄めるものではない。

資産は会社、データベース、そして未完のセキュリティ経緯だった

マリオットは 2015 年 11 月 16 日にスターウッドの買収合意を発表した。その 4 日後、スターウッドは北米の一部ホテルの POS システムに影響する別の支払いカードインシデントを開示した。スターウッドの 2015 年年次報告書によれば、マルウェアはレストラン、ギフトショップなどの POS システムに到達したが、予約システムやスターウッドプリファードゲストシステムが影響を受けた兆候は当時なかったとされている。(スターウッド 2015 年フォーム 10-K)

この開示は、後にマリオットが発表した予約データベース侵入の通知ではなかった。この 2 つの事象は異なるシステムと公開情報に関わる。しかし、スターウッドの環境にセキュリティ上の経緯があったことを示す通知ではあった。連邦取引委員会（FTC）の 2024 年の訴状によると、POS 侵害は約 14 か月間続き、4 万人以上の消費者が関与し、不十分なセグメンテーション、アクセス制御、サポート対象外のソフトウェア、多要素認証の欠如と関連していた。同訴状では、マリオットが発表からクロージングまでの 10 か月間にスターウッドの情報セキュリティプログラムをレビューし、その中には最初の侵害に関連する不備も含まれていたとされている。これらの記述は同意事案における FTC の主張であり、争訟の審理に基づく認定ではない。(FTC 訴状)

マリオットの説明は重要な制約を加える。当時の CEO アーン・ソレンソン氏は 2019 年に米国上院小委員会で証言し、クロージング前にマリオットはスターウッドの技術に関する情報を入手し、統合を評価したが、両社が依然として競合関係にあったため、調査は法的にも実務的にも制限されていたと述べた。マリオットは自社の予約プラットフォームを維持し、スターウッドのものを廃止することを決定した。予約を中断させることなく 1,270 のホテルを移行するのに 2 年を要したため、スターウッドのシステムはクロージング後も稼働を続け、マリオットはその間にセキュリティへの追加投資を行ったとしている。(ソレンソン氏の上院証言)

いずれの事実も真実たりうる。クロージング前のアクセスは制約を受ける可能性があり、それでも買収側が稼働中の管理問題を引き継ぐことはありうる。誤りは、デューデリジェンスを一度限りの証明書として扱い、立証責任の転換と見なさないことだ。クロージング前、買収側は合法的に検査できる範囲、売り手の表明内容、必要な契約上の保護を問う。クロージング後は、所有者として特権 ID の再検証、ログの検査、永続性の探索、データベースエクスポートのマッピング、セグメンテーションのテスト、暗号化方式の棚卸しを行い、レガシーシステムが個人データを処理し続けることを許容するか否かを決定できる。権限が変わるのだから、証拠も変わらなければならない。

マリオットは 2016 年 9 月 23 日に買収を完了した。スターウッドは間接的な完全子会社となり、統合後のグループは約 6,000 の施設、110 万室以上、30 ブランドを 120 の国と地域で展開した。(マリオット買収に関するフォーム 8-K) その規模は見せ物としてではなく、依存関係のマップとして重要である。予約データベースは周辺的なオフィスアプリケーションではなかった。世界中のフランチャイズおよび管理システムにわたって、ホテル、コンタクトセンター、ロイヤルティプロセス、ゲストサービス、旅行記録を結びつけるものだった。

公開記録はまた、狭くとも重要なアーキテクチャ上の事実を確立している。ICO は、攻撃者がアクセスしたシステムはマリオットの広範なネットワークから分離されたままだったと認定した。攻撃によってスターウッド以外のシステムでのみ処理される個人データへのアクセスは生じなかったとしている。したがって、分離は被害範囲を制限した。しかし、それで買収環境が安全になったわけではない。スターウッド側は依然として本番稼働を続けており、効果的な監視を伴わない分離は、侵入者を閉じ込めるのと同じくらい容易に侵入者を温存しうる。

タイムライン：侵入、所有権取得、検知、開示はそれぞれ異なる日付である

この侵害はしばしば「2014 年以降の不正アクセス」というフレーズに圧縮される。このフレーズは説明責任に必要な順序を見失わせる。少なくとも 6 つの時計が重要である：初期侵入、マリオットによる買収、GDPR 適用開始、アラート、ゲストデータ関与の確認、そして公表である。

2014 年 6 月～2015 年：スターウッドの別の支払いカード事案。FTC のその後の訴状は、攻撃者がスターウッドのネットワークに到達し、100 以上の所有・管理施設で支払いカード情報を窃取するマルウェアを仕掛けた 14 か月間の侵入を描写している。スターウッドは 2015 年 11 月に、より狭い施設レベルの POS 事案を公表し、ゲスト予約およびロイヤルティシステムは影響を受けていないと見られる旨を述べた。この以前の事案が重要なのは、ネットワークの弱点を買収の文脈に持ち込んだからである。事実や影響を受けた消費者が同一であるかのように、後日この事案を予約データベース侵害と安易に同一視すべきではない。

2014 年 7 月 28～29 日：後に予約侵害に関連付けられる環境への侵入。FTC の訴状は、外部向け Web サーバの侵害を 7 月 28 日頃としている。ICO の制裁金通知は、7 月 29 日にスターウッド従業員が Web サイトのコンテンツ変更を依頼するために使用するアプリケーションをサポートするデバイス上に Web シェルがインストールされたとしている。このシェルはリモートアクセスとリモートアクセス型トロイの木馬のインストールを可能にした。1 日の違いは 2 つの公的再構成の精度を反映しており、必ずしも事実上の矛盾を意味しない。安全な結論は 2014 年 7 月下旬である。

侵入者は特権資格情報およびユーザー資格情報を収集し、スターウッド環境内を移動した。FTC は、キーロガー、メモリスクレイピング型マルウェア、リモートアクセス型トロイの木馬が最終的に、企業、データセンター、コンタクトセンター、ホテルの 58 か所にわたる 480 以上のシステムに出現したと主張した。ICO は、正当なアカウントの使用、Mimikatz による資格情報抽出、データベーステーブル全体のダンプファイルへのエクスポートについて説明している。どちらの記録も、基盤となるフォレンジックレポート、影響を受けたホストの完全なリスト、または最初に公衆向けサーバを悪用可能にした正確な脆弱性を公開していない。

2015 年 11 月：マリオットが取引を発表；スターウッドが別の侵害を開示。この時点で、継承されるサイバーリスクが取引上の問題として可視化された。それは潜伏した予約システムの攻撃者を明らかにしたわけではない。しかし、買収側に対し、技術的な保証、是正の主張、支払いカード業界の遵守状況、ネットワークセグメンテーションを、支配権移転後に独立した検証を要する命題として扱う理由を与えた。

2016 年 9 月 23 日：マリオットが買収を完了。予約システムの侵入者は既に存在していた。マリオットは、移行が完了するまでスターウッドのシステムの運用を継続する間、セキュリティを強化したと述べている。ICO は、該当期間中、2 つのネットワークが分離されていたと記録している。FTC は後に、マリオットにはクロージング後に両社のセキュリティ慣行を確立し、レビューし、実施する責任があったと主張した。

2018 年 5 月 25 日：GDPR が適用開始。この日付は ICO の決定の法的範囲を画する。攻撃は数年前に始まっていたが、制裁金通知はマリオットの 2018 年 5 月 25 日から 9 月 17 日までの処理を対象とした。ICO は、買収から GDPR 適用までの期間については侵害認定を行わず、買収過程でより深いデューデリジェンスが可能だったかどうかについても判断しなかったと明言した。この境界は極めて重要である。ICO は、継承されたシステムを用いて、GDPR 発効後のマリオットの継続的な管理者義務を評価したのであり、2014 年や 2016 年の行為に対して遡及的に GDPR 上の責任を創出したわけではない。(ICO 制裁金通知)

2018 年 9 月 7～8 日：カウントクエリがアラートを生成。9 月 7 日、管理者アカウントが保護されたゲストプロファイルテーブルの行数をクエリした。IBM Guardium がアラートを生成した。スターウッドのゲスト予約データベースを管理していたアクセンチュアは、9 月 8 日にマリオットの IT チームに連絡した。マリオットは、その資格情報が使用された人物が当該クエリを実行していないことを知った。このアラートは、カード詳細を含むために監視されていたテーブルに関するものだった。ICO によれば、支払いカードデータを含まない他のテーブルには同等のアラートがなかった。

これは異常な動作の検知であり、侵害全体の即時の把握ではなかった。クエリはカウントを返したのであり、行の内容ではない。この同じ日は後に、ICO による第 33 条の通知目的での個人データ侵害の認識時期の分析において争点となった。マリオットの主張を考慮した後、ICO は最終的な第 33 条違反の認定を行わなかった。

9 月 9～12 日：インシデント対応と攻撃者の継続的な活動。マリオットは 9 月 9 日または 10 日頃に情報セキュリティおよびプライバシーインシデント対応計画を発動し、9 月 10 日に外部調査機関を招聘した。ICO によれば、その日に別のパスポート関連テーブルがダンプファイルにエクスポートされた。9 月 12 日、マリオットは約 7 万台のレガシーであるスターウッドのデバイスにリアルタイム監視とフォレンジックツールの展開を開始した。最初のアラートの後にデータエクスポートが発生したという事実は重要であり、アラート生成、アナリストによるエスカレーション、封じ込め、根絶が別個に測定されなければならない理由を示している。

9 月 15～18 日：資格情報、マルウェア、ガバナンスのエスカレーション。調査チームは 7 月からのアクセンチュア従業員の資格情報が関与する不正な活動を特定した。9 月 17 日にリモートアクセス型トロイの木馬を発見し、指令統制アドレスをブロックした。ソレンソン氏は、その日に報告を受け、取締役会には 9 月 18 日に通知されたと証言した。ICO は制裁金分析における侵害期間の終わりを 9 月 17 日としたが、これは RAT が特定され封じ込められた日であり、すべてのフォレンジック上の疑問が解決されたからではない。

2018 年 10 月：過去の侵入が可視化される。調査チームは Mimikatz とメモリスクレイピング型マルウェアの証拠を特定し、不正な存在を 2014 年 7 月まで遡った。マリオットは 10 月 29 日に FBI に連絡した。この段階で、同社の上院証言によれば、調査チームは長期にわたる侵入の証拠を掴んでいたが、予約データベース内のゲストデータがアクセスされたという証拠はまだ見つかっていなかった。

11 月 13～19 日：削除されたファイルがゲストデータエクスポートの証拠となる。11 月 13 日、調査チームは圧縮・暗号化され削除された 2 つのファイルの痕跡を発見した。11 月 19 日にそれらを復号し、ゲストプロファイルとパスポート関連テーブルのエクスポートを確認した。この日が、マリオットが当該ファイルにスターウッドのゲスト予約データベース由来の個人情報が含まれていると判断した日付である。9 月の異常と 11 月の確認の区別は、すべての通知判断が適時であったことを証明することなく、調査の遅延を説明するものである。

11 月 22～30 日：規制当局への通知と公表。マリオットは 11 月 22 日に ICO に通知した。11 月 25 日と 26 日に過去に追加のテーブルコピーがあった証拠を発見し、支払いカードネットワークや複数の当局に通知し、11 月 30 日にインシデントを公表した。当初の通知では、データベースは米国にあり、2018 年 9 月 10 日以前のスターウッド施設での予約に関連するレコードが含まれていたと述べた。(マリオット 2018 年 11 月インシデント通知)

2018 年 12 月 18～31 日：廃止。ソレンソン氏は、マリオットが 2018 年 12 月 18 日にスターウッドのゲスト予約データベースの業務利用を停止したと述べた。マリオットの 1 月のアップデートでは、年末までに段階的廃止が実質的に完了したと説明された。廃止により稼働中の予約における役割は終了したが、安全な廃止にはコピー、資格情報、キー、フォレンジックイメージ、バックアップ、法的保全に関する処分も必要である。公開記録は完全な破棄台帳を提供していない。

2019～2020 年：範囲の変更と最終的な英国制裁金。マリオットは 1 月と年次報告書でカウントを修正した。ICO は 2019 年 7 月に 9920 万 396 ポンドを提案する予定通知を発出した。マリオットの書面による主張、他の欧州当局との協議、緩和要因の分析、COVID-19 調整を経て、最終的な制裁金は 2020 年 10 月 30 日に 1840 万ポンドとなった。マリオットは控訴しないと述べたが、責任を認めるものではないとした。(ICO 最終決定に対するマリオットの回答)

2024 年 4 月：5 年前の暗号化の説明が変更。マリオットは 2018 年および 2019 年の通知にアップデートを追加した：AES-128 暗号化で保護されていると説明していた支払いカード番号および一部のパスポート番号が、代わりに SHA-1 で保護されていた。この訂正は不正アクセスの事実を変えるものではない。しかし、暗号化とキーに関する過去の記述を読者がどう解釈すべきかを変えるものである。

2024 年 10～12 月：並行する米国の解決が執行可能に。50 州の司法長官連合が、1 億 3150 万件の米国関連ゲストレコードと長期の保護措置を対象とする 5200 万ドルの和解を発表した。FTC は並行する同意和解を 10 月に発表し、12 月 20 日に決定と命令を確定した。FTC の事案は 2014 年から 2020 年までの 3 つの侵害を扱っており、したがって同手続きにおけるすべての主張や救済措置がスターウッド予約インシデントに排他的に属するわけではない。

2025～2026 年：私的訴訟は別のトラックとして継続。2025 年 6 月、第 4 巡回区控訴裁判所はクラスアクションの権利放棄条項を執行し、マリオットに対するクラス認証を取り消した。審理を経て根底にある侵害請求について判断したわけではない。(第 4 巡回区控訴裁判所意見) 2026 年 2 月 10 日に提出されたマリオットのフォーム 10-K によれば、一部の原告がニューヨーク州で個別訴訟を提起しており、連邦複数地区訴訟において調停協議が継続中で、カナダの事案はオンタリオ州で実質的に統合され、マリオットは主張を争っている。(マリオット 2025 年フォーム 10-K)

数字はレコード、人、地域、手続き上の集団を指す

あらゆる目的に対して安全に使用できる単一の侵害件数は存在しない。マリオットの推定値は、調査チームが重複排除とテーブル分類を進めるにつれて変化した。規制当局や裁判所は後に、管轄や手続きに結びついた異なる集団を使用した。

レコードと人の違いは編集上の形式的な問題ではない。ゲストは複数回の滞在、住所、同行者、ロイヤルティエントリ、または重複プロファイルを持つ可能性がある。異なるテーブルが同一人物を不整合な方法で識別するかもしれない。マリオットは上院に対し、一致するか類似する名前や住所が一人の人物のものか複数人のものかを確実に判断できないと述べた。防御可能なデータ目録は、インシデント前にこうしたアイデンティティ問題の多くを解決しておくべきであり、通知の段階で何人分のデータを保持しているかさえ言えないと発覚するようではいけない。

カテゴリも多様だった。マリオットの最初の通知では、約 3 億 2700 万件のレコードに、名前、郵送先住所、電話番号、電子メールアドレス、パスポート番号、スターウッドプリファードゲスト情報、生年月日、性別、到着・出発情報、予約日、コミュニケーション設定のいずれかの組み合わせが含まれていた。一部には支払いカード番号と有効期限も含まれていた。残りは、名前に加えて場合によっては住所や電子メールなどの別のフィールドが含まれていると説明された。「いずれかの組み合わせ」という表現は、リストされたすべてのフィールドがすべてのゲストに存在すると扱ってはならないという警告である。

ICO のテーブルレベルの説明は運用上の詳細を加える。ある予約共有テーブルには、ゲスト ID、ロイヤルティ ID、VIP フラグ、パスポートの国と番号、到着・出発情報、連絡先詳細、フライト番号、航空会社コード、チェックイン状態、部屋内のゲスト人数が含まれていた。別のテーブルには部屋タイプ、大人と子供のゲスト数、リクエストされたベビーベッドや簡易ベッドが含まれていた。これらのフィールドは、金融資格情報がなくても、世帯や旅行の文脈を明らかにしうる。

パスポートと支払いカードの件数も変動した。マリオットの 2019 年 1 月 4 日のアップデートでは、暗号化されていないパスポート番号が約 525 万件、当時暗号化されているとされていたパスポート番号が 2030 万件と記載された。また、暗号化されているとされていた支払いカードが約 860 万件（うち 2018 年 9 月時点で有効期限切れでないものは 35 万 4000 件）、さらに他のフィールドにある暗号化されていない可能性のある 15 桁または 16 桁の値が 2,000 件未満と記載された。(マリオット 2019 年 1 月アップデート)

2018 年フォーム 10-K および 2019 年 3 月の証言までに、同社は約 1850 万件の保護されたパスポート番号、910 万件の保護された支払いカード、2018 年 9 月時点で有効期限切れでないカード 38 万 5000 件という数字を使用した。データには数千件の暗号化されていない支払いカード番号が含まれうるとした。年次報告書はまた、2018 年のインシデント費用として 2800 万ドルを計上し、一部は 2500 万ドルの未収保険回収見込みと相殺した。これらの会計上のエントリは対応費用を測定するものであり、ゲストの損害を測定するものではない。(マリオット 2018 年フォーム 10-K)

したがって、正しい提示は一連の境界付き推定値であり、最大や最新の数字を選ぶ競争ではない。また、双方向の不確実性を保持することも重要である。重複レコードはユニークな人数をレコード総数よりも少なくする。未知または未回収のファイル、不完全な過去のテレメトリ、フリーテキストフィールドは、正確なフィールドレベルの再構成をより困難にする。

ICO が認定したこと、および意図的に認定しなかったこと

ICO の制裁金通知は、スターウッド予約環境におけるセキュリティ上の欠陥に関する最も強力な公的判断記録である。ただし、多くの要約が示唆するよりも範囲は狭い。

第一に、ICO は、管理者としてのマリオットが、適切なセキュリティをもって個人データを処理しなかったことにより、GDPR 第 5 条(1)(f) および第 32 条に違反したと認定した。この決定は 2018 年 5 月 25 日から 9 月 17 日までを対象とした。GDPR の公式条文はセキュリティをリスクベースとしている。すなわち、適切な措置は技術水準、実装コスト、処理の文脈、人々の権利と自由へのリスクに依存する。この義務は、攻撃者が成功しないことを保証するものではない。実際のデータとシステムに応じた措置を実装およびテストする義務である。

第二に、最終通知は 4 つの主要な欠陥を特定した。

特権アカウントの監視不十分。攻撃者は不正な活動に正当な資格情報を使用した。ICO は、マリオットがカード会員データ環境内でのユーザー活動、特に特権アカウントに対する適切な継続的監視を欠いていたと認定した。マリオットはセキュリティオペレーションセンター、年次ペネトレーションテスト、支払いカード業界準拠レポートを有していた。規制当局は、これらの管理策は関連するログ設定を評価しておらず、認証後の異常な使用を検知する必要性を代替するものではないと結論づけた。

データベースの監視不十分。Guardium は選択されたアクティビティをログに記録しアラートを発していたが、ICO はデータベースアラートが不完全であり、ログ集約が不十分で、ファイル作成やテーブル全体のエクスポートといったアクションのログ取得が行われていなかったと認定した。最終的に重要となったアラートは、カードデータを含むテーブルに適用されていた。他の個人データテーブルは同等のアラートを欠いていた。支払いカードの機密性はより強力な管理を正当化しうるが、規制当局は、それが他の個人データに対するアラートがないことを正当化しないと述べた。

重要システムの管理不適切。ICO は、重要システムにおける適切なサーバ強化（実行制御や同等の許可リストなど）が、偵察、権限昇格、マルウェア実行を制限できたはずだと認定した。決定は許可リストをあらゆる場所に義務付けるものではない。大規模または機密性の高い個人データストアに到達できる重要なデバイスとシステムに焦点を当てたものだった。

すべてのパスポート番号の暗号化の怠り。約 525 万件のパスポート番号が暗号化されていなかった。ICO は、一部のパスポート番号が暗号化保護を受け、他のものは受けなかった理由を説明する文書化されたリスク評価を発見しなかった。そのより広範なポイントは、すべてのフィールドが常に暗号化されなければならないということではない。選択的な保護には、証拠に基づく根拠と意味のある実装が必要であるということだ。

2024 年の SHA-1 への訂正は、最後の認定の技術的文言を複雑にする。制裁金通知は、当時の記録に基づいて AES-128 について論じていた。マリオットは後に、テーブル内の支払いカード番号と一部のパスポート番号が代わりに SHA-1 を用いて保護されていたと述べた。この後の声明は、それらのサブセットについては古いアルゴリズムの説明に取って代わるべきである。しかし、ICO が数百万件のパスポート番号が暗号化されていなかったと認定したことや、マリオットが一貫したリスク評価を示していないと結論づけたことを消し去るものではない。

除外事項も同様に重要である。

ICO は、不完全な多要素認証の適用範囲についてマリオットに制裁金を科さなかった。マリオットは、セグメント化されたカード会員データ環境へのアクセスを MFA が保護しているとする 2016 年および 2017 年の経営陣の保証と支払いカード業界準拠レポートに依拠していた。実際の実装は不完全だったが、マリオットの主張を考慮した上で、ICO は当面の目的においてその依拠を認め、最終制裁金認定から MFA を除外した。慎重な説明であれば、運用上のギャップについて議論することはできる。しかし、そのギャップを ICO の最終的な 4 つの違反のうちの 1 つと呼ぶことはできない。

ICO は、最終的な第 33 条の侵害通知に関する認定を行わなかった。認識に関するマリオットの法的推論の一部を退けつつも、9 月の限定的なアラート、マリオットが 11 月 13 日までテーブルエクスポートを認識していなかったこと、11 月 19 日の復号を考慮し、提案されていた認定を取り下げた。また、影響を受ける人々への連絡に関する第 34 条の最終認定も行わなかった。規制当局は、電話番号を含めずにコールセンターに言及した電子メールを批判したが、その電子メールが番号の掲載された専用サイトにリンクしていたことを受け入れた。

ICO は、マリオットのクロージング前のデューデリジェンスが法的に不十分であったとは判断しなかった。競合他社に対する詳細なデューデリジェンスが制約される可能性を認識し、GDPR 以前の行為を決定の対象から除外した。ただし、デューデリジェンスは一度限りのイベントではなく、マリオットは GDPR の下で、その弱点が法律や買収よりも前に存在したというだけで、欠陥のある継承されたシステムで処理を継続することはできなかったと結論づけた。

最後に、1840 万ポンドという数字は 2019 年の提案と混同されるべきではない。最終通知は、マリオットの提出書類、アラート後の迅速な対応、協力、ICO が確認した金銭的損害の証拠がないこと、その他の緩和要因、COVID-19 の影響を考慮した。マリオットは控訴しなかった。責任を認めないというマリオットの声明は、明示的に違反を認定した最終的な規制当局の決定と共存する。「責任を認めない」はマリオットの手続き上の立場を述べたものであり、ICO の認定を単なる主張に変えるものではない。

2024 年の訂正は鍵管理を棚卸問題に変える

マリオットの当初の通知は、支払いカードの値は AES-128 で暗号化されており、復号には 2 つの要素が必要であり、当時、両方が取得された可能性を否定できないとしていた。2019 年 1 月のアップデートでは、保護されたパスポート番号に必要なマスターキーや、保護されたカード番号に必要な要素のいずれかを攻撃者が入手した証拠はないとされた。3 月の証言で、ソレンソン氏はマスターキーへのアクセスの証拠は見つかっていないが、否定はできないと述べた。

これらの声明は、リスクを暗号文とキー侵害の可能性として枠付けていた。マリオットの 2024 年 4 月のアップデートはその枠組みを変えた。影響を受けたテーブル内の支払いカード番号と一部のパスポート番号は、AES-128 ではなく SHA-1 で保護されていた。SHA-1 はハッシュ関数であり、暗号化スキームではない。NIST は、ハッシュがデータを固定サイズのダイジェストにマッピングするものであり、暗号保護のための SHA-1 から移行しつつあると説明している。(NIST ハッシュ関数概要、NIST SHA-1 移行通知)

この区別は重要である。暗号化は、認可された秘密またはプロセスによって可逆的であるように設計されている。ハッシュ化は通常ダイジェストを生成するために使用され、以前の通知で説明されたマスターキーで「復号」されるものではない。しかし、公開された訂正は、値がソルト付き、キー付き、切り詰め、別の層でトークン化、ルックアップテーブルとの組み合わせ、その他の変換が行われたかどうかを開示していない。また、SHA-1 が適用された正確なパスポートとカードのサブセットを特定するものでも、誰かがこれらの値から元の識別子を復元したかどうかを示すものでもない。これらの詳細を捏造するのは無責任であろう。

説明責任に関する認定はより狭く、それでも重要である。開示から 5 年後に、中核的な保護メカニズムの公開説明がカテゴリを変更した。これは、暗号化棚卸、証拠翻訳、またはその両方の欠陥を示唆する。組織は、フィールドごと、コピーごとに、データが平文、暗号化、トークン化、ハッシュ化のいずれであるか、どのアルゴリズムとモードが適用されるか、鍵や秘密がどこにあるか、誰がそれらを呼び出せるか、移行状態はどうか、これらの事実がどのようにテストされたかを把握すべきである。

これは買収時に特に重要である。「機密フィールドは暗号化されている」という方針文書はフィールドレベルの棚卸ではない。支払いカード業界準拠レポートは、すべてのレガシーテーブル内のすべてのパスポートフィールドが同じ処理を受けるという証明ではない。インシデント通知におけるアルゴリズム名は、調査員がアプリケーションコード、スキーマ設定、キーサービス、保存された値、過去のバージョンを追跡するまで信頼できない。

適切な鍵管理も、認可されたアプリケーションによる制御されない使用を補償することはできない。攻撃者が平文を要求できる特権アカウントやデータベースプロセスを制御している場合、保存データの暗号化は、稼働中のクエリやエクスポートの間はほとんど保護を提供しないかもしれない。ICO はこの点を間接的に指摘した。外部境界での MFA は内部でのログ取得の必要性を除去せず、暗号化は意味のあるアーキテクチャと鍵管理に依存する。管理策は、単にストレージに付加するだけでなく、使用を中心に階層化されなければならない。

米国にあるデータは、他の場所の人々と法律によって規律されていた

マリオットの最初の通知は、スターウッドのゲスト予約データベースが米国にあると述べた。レコードは世界的なものだった。ICO は、EEA 諸国に関連する 3010 万件、英国に関連する 700 万件を数えた。州は後に 1 億 3150 万件の米国関連レコードを使用した。したがって、物理的なデータベースの所在地は一つの質問に答えた。すなわち、特定のシステムがどこで運用されていたかである。それは、人々が誰であり、どの施設が彼らのデータを処理し、どの当局が管轄権を持つか、またどのホテル、フランチャイジー、サービスプロバイダー、企業チームがそれにアクセスできたかという質問には答えなかった。

データ主権と所在地は、少なくとも 4 つの層に分離されるべきである。

ストレージ所在地は、プライマリデータベース、レプリカ、バックアップ、エクスポートファイル、ログ、フォレンジックコピーが存在する場所である。公開記録は予約データベースを米国ベースとしているが、すべてのコピーやバックアップの完全なマップは提供していない。

アクセス所在地は、ユーザー、サービス、管理者がデータに対して権限を行使できる場所である。アクセンチュアがデータベースを管理し、スターウッドとマリオットの業務は多くの国にまたがり、ホテルやコンタクトセンターのプロセスが予約システムにデータを供給していた。データベースは米国のハードウェア上にありながら、特権アクセスと運用上の決定は国境を越えうる。

法的所在地は、ラックだけでなく、人々、施設、処理、適用法に従う。ICO は、GDPR 協力メカニズムの下でクロスボーダー処理の主監督当局として行動した。米国の州は独自の消費者保護法および個人情報法を主張した。したがって、中央データベースは分散した法的境界を蓄積しうる。

ビジネス所在地は、レコードが意味を持つ場所である。到着日、同行者、VIP ステータス、航空会社、ホテルの場所は、旅行者の移動と関係に結びついている。それらを中央集約することはグローバルなサービスをサポートするかもしれないが、同時に、管轄区域をまたぐ活動の集中された記述を作り出す。

マリオットの現在のグローバルプライバシーステートメントは、国際転送がグローバルサービスに不可欠であり、データが異なる保護基準の国に移転される可能性があり、適切な場合には承認された転送メカニズムが使用されると述べている。また、目的および法律に基づく保持基準も述べている。(マリオットグループ グローバルプライバシーステートメント) これは現在のガバナンスモデルの有用な証拠であり、2014～2018 年のスターウッドのアーキテクチャや過去のコンプライアンスの証明ではない。

教訓は、グローバルな予約データが常に旅行者の国に留められなければならないということではない。証拠はより実践的なルールを支持する。グローバルな管理者は、目的、人、情報源、ストレージ、アクセス、転送メカニズム、保持、セキュリティ管理、責任を負う法人を結びつけるレコードレベルのマップを必要とする。そのマップなしでは、「データベースは米国にある」という事実は、あたかもガバナンスの答えであるかのように提示された所在地の事実になってしまう。

露出したレコードは、説得力のある接触のコストを低下させた

支払いカードとパスポートは、よく知られた身分証明書および金融手段であるため、直ちに注目を集める。スターウッドのテーブルには、より静かな害の源も含まれていた。それは、信頼できる接触を行うための材料である。

通常のフィッシングメッセージは、信憑性のコストを支払う。送信者は、受信者に、そのメッセージが実際の関係、イベント、取引に関するものであると説得しなければならない。予約データセットはそのコストを削減できる。メッセージは、ホテルブランド、おおよその滞在、ロイヤルティ関係、到着時期、目的地、同行者の文脈、コミュニケーション設定、またはフライトを名指しできる。連絡先詳細は経路を提供し、旅行詳細は口実を提供し、ステータスと設定フィールドは口調の選択に役立つ。

これは abuse-contact economics である。レコードは、攻撃者が直接銀行口座を開設できるようにする必要はなく、有用でありうる。それは、次の要求を個人化するのをより安価にし、受信者が拒否するのをより困難にしうる。CISA は、スピアフィッシングを、その人物に関する重要な情報を用いて個人を標的化することと定義している。(CISA フィッシングガイダンス) FTC のマリオット消費者向け警告は、詐欺師が侵害の発表自体を悪用し、マリオットを装って受信者を偽サイトに誘導する可能性があると警告した。(FTC マリオット侵害アドバイス)

このデータベースは、いくつかの悪用経路を組み合わせていた。

• 名前、電子メール、電話番号は発見コストを削減し、電子メールからテキストや音声へのチャネル切り替えを可能にする。
• 予約と滞在の詳細は、もっともらしいサービス問題、払い戻し、請求書、ロイヤルティ調整、セキュリティ警告のストーリーを提供する。
• 到着、出発、航空会社、場所データは、緊急性を同時期のものと感じさせうる。
• ロイヤルティ識別子は、ポイント、アカウントアクセス、長期的な顧客関係という第二の資産クラスを生み出す。
• パスポート番号と生年月日は、パスポート番号だけでは物理的なパスポートにならないとしても、なりすましの試みを強化したり、検証の断片を提供したりする可能性がある。
• VIP ステータス、雇用主、または好みの文脈は、標的の優先順位付けや幹部向けの接触の調整に役立つ。
• 同行者や子供の数は、影響を受けた人物がホスピタリティ業務以外で使用されることを予期していなかった関係性の文脈を暴露する可能性がある。

これらは、フィールドと一般的な詐欺ガイダンスによって裏付けられた、もっともらしい悪用メカニズムである。特定のキャンペーンがスターウッドのレコードを使用したという証明ではない。2019 年 3 月、ソレンソン氏は、マリオットは当該インシデントに起因する実証された詐欺損失の請求を受けておらず、監視の中で影響を受けたテーブルが販売に提供されているのも発見していないと証言した。ICO も後に、金銭的損害の証拠は見ていないと述べた。対照的に、FTC の訴状は、詳細なレコードがフィッシング、個人情報の悪用、資格情報の監視と交換の負担など、実質的な損害を引き起こしたか、引き起こす可能性が高いと主張した。この違いは、一部は法的な立場の違いであり、一部は時間によるものである。悪用が観測されていないことは露出がないことの証明ではないが、可能性の高い損害は完了した詐欺の証明ではない。

contact economics は通知にも影響する。マリオットは影響を受けたゲストに電子メールを送る必要があったが、広く公表された通知キャンペーン自体が、なりすましの口実を作り出した。同社の本物の通知は、区別可能で、多言語対応で、独立して検証可能なチャネルを通じて到達可能でなければならなかった。コールセンター番号が省略されていたことに関する ICO の議論は、通知の質が広報の付属品ではなく、セキュリティ管理策であることを示している。

長期的な救済策はデータ最小化である。フィールドがサービス、法律、詐欺防止、または定義された運用目的にもはや必要でない場合、それを保持することは攻撃者への補助金を維持することになる。FTC の最終命令は、収集目的と特定のビジネスニーズに結びついた保持ポリシー、米国消費者向けの削除経路、削除された情報のマーケティング目的の使用制限を義務付けている。この命令は、削減された悪用表面をガバナンス上の義務に変えるものである。

3 つの執行記録、3 つの異なる種類の説明責任

ICO 制裁金、州和解、FTC 命令は、一つの未分化な罰金に混同されるべきではない。

ICO 制裁金は、定義された 2018 年の期間について GDPR 違反を認定する最終的な行政決定である。1840 万ポンドを課した。マリオットは控訴しなかったが、責任を認めないと述べた。その認定、制裁金計算、除外事項は 91 ページの通知に含まれている。

複数州和解は、州の主張を解決し、5200 万ドルの支払いを要求するものである。コネチカット州の発表によれば、連合は消費者保護法、個人情報法、および該当する場合には侵害通知法の違反を主張した。包括的な情報セキュリティプログラム、ゼロトラスト原則、資産目録、強化、暗号化、セグメンテーション、パッチ適用、監視、ベンダーおよびフランチャイジーの監督、消費者の削除とロイヤルティ保護、被買収企業の評価、20 年間にわたる 2 年ごとの独立レビューを義務付けている。(コネチカット州司法長官 和解発表) 確定判決は、マリオットが違反や責任を認めるものではないと述べており、和解金は影響を受けた各個人に対する裁判の評決ではない。(バーモント州 最終判決)

FTC 事案は、行政上の同意手続きである。訴状は、以前のスターウッドの POS 侵害、スターウッド予約侵害、および 2020 年に開示されたその後のマリオットの資格情報インシデントにわたる、欺瞞的なセキュリティ表明と不公正なセキュリティ慣行を主張している。訴状における主張は、主張として特定されるべきである。最終的な決定と命令は、すべての主張が法廷で争われたかどうかにかかわらず、拘束力がある。

FTC 最終命令は、書面によるセキュリティプログラム、年次およびインシデント後のリスク評価、取締役会への報告、24 時間以内のログのアクティブなレビュー、有効な資格情報の悪用に対する管理、最小権限、多要素認証、設定強化、資産および個人データの目録、暗号化または同等の保護決定、パッチ管理、セグメンテーションおよびペネトレーションテスト、ベンダー管理、フランチャイジー監督、インシデント報告、CEO 認証、および 20 年間の 2 年ごとの独立評価を義務付けている。

ある条項は、買収の教訓を明示的にしている。マリオットが個人情報を処理する企業の買収を完了した後、被買収企業のプログラムが命令に準拠しているかどうかを評価し、ギャップに対する計画とタイムラインを作成し、買収した IT 資産をマリオットの生産資産として使用する前に欠陥に対処しなければならない。これは、クロージング前に全知であることを要求するものではない。クロージング後に生産環境への制御された受け入れを要求するものである。

また、この命令は、米国消費者に対し、電子メールアドレスまたはロイヤルティアカウント番号に結びついた削除要求経路を提供し、マリオットに、不正なロイヤルティ活動の疑いを調査し、第三者の不正な活動がポイント減少を引き起こしたと判断した場合には、命令の条件に従ってポイントを回復することを義務付けている。FTC の消費者向け説明は、これらの救済措置を法的文書よりも理解しやすくしている。

執行は現在の管理の有効性を証明するものではない。命令は義務を規定し、評価者は実装をテストし、認証は責任を割り当てる。一般読者は依然として、独立した評価レポート、詳細な例外登録簿、フィールドレベルの暗号化目録を持っていない。マリオットの 2025 年年次報告書は、和解が長期的な要件を生み出し、違反はさらなる執行につながる可能性があると述べている。また、取締役会の技術・情報セキュリティ監督委員会と継続的なサイバーリスクプロセスについても説明している。これらはガバナンス構造と企業の表明であり、公的な保証意見ではない。

私的訴訟は別の説明責任ルートを追加するが、明確な責任評決ではない。2025 年の第 4 巡回区控訴裁判所の決定は、ロイヤルティ条件におけるクラスアクションの権利放棄条項の執行可能性に焦点を当てた。クラス認証の取り消しは、請求がどのように集約されるかを変えるが、セキュリティが合理的であったか、特定の人物が損失を被ったか、あるいはすべての個人請求が失敗するかを決定するものではない。マリオットの最新の年次報告書は、主張を争っており、2025 年末時点で手続きが継続していると述べている。

買収後の管理スコアカード

有用な取締役会の質問は「デューデリジェンスは行われたか？」ではない。「どの継承された主張が、独立して運用上の証拠に変換されたか？」である。

このスコアカードは、すべての管理策が全く存在しなかったと仮定するものではない。文書化された障害モードを、証明のための質問に翻訳するものである。これは、継承されたシステムが経営陣が信じているとおりに動作するかどうかを問うものであり、方針チェックリストよりも厳しい基準である。

説明責任は、実質的な管理が変わるところに属する

身元不明の侵入者（ら）は、不正な侵入、永続化、エクスポートの責任を負う。その責任は、規制当局が保護措置を検証するからといって、被害組織に転嫁されるべきではない。企業の説明責任は、別の問いに対処する。すなわち、アクセスをより困難にし、防止、検知、封じ込めをより難しくした条件を誰が管理し、誰が対応を管理したか？

スターウッドは、最初の侵害時に環境を管理していた。マリオットはそうではなかった。スターウッドはまた、以前の POS セキュリティ経緯を取引に持ち込んだ。これらの事実は、因果関係を再構築する際に重要である。

マリオットは、2016 年 9 月以降、買収した企業を管理した。理解できる継続性の理由であれ、移行中にスターウッドの予約プラットフォームを継続することを選択した。セキュリティ強化、統合、廃止のペースと条件を管理した。ICO の法的認定は、2018 年 5 月 25 日から開始するが、運用上の管理はクロージング時に始まった。

アクセンチュアは予約データベースを管理し、Guardium アラートをエスカレーションした。公開記録はまた、侵害されたアクセンチュアの資格情報を特定している。これらの事実は、重要なサービスプロバイダーの役割を確立するものであり、契約上または法律上の過失の完全な割り当てではない。私的訴訟にはアクセンチュアに対する請求も含まれていたが、本記事は未解決の主張を判決として扱わない。

取締役会と上級管理職は、リスク受容と証拠要求を管理した。ソレンソン氏は、9 月 17 日に RAT について知り、翌日取締役会に通知されたと述べた。その後の FTC 命令は現在、年次の取締役会の可視性とインシデント報告を要求し、CEO 認証は直接の説明責任チャネルを作り出す。ガバナンスとは、取締役会が SIEM を操作することではない。重大な結果をもたらしうる継承されたリスクに、所有者、期限、検証済みのクロージングがあることを証拠をもって要求することである。

規制当局は異なる救済措置を管理した。ICO はクロスボーダーのデータ保護フレームワークを適用し、理由を付した制裁金を発出した。州司法長官は、金銭、消費者権利、詳細な保護措置を獲得した。FTC は、長期のプログラムと評価体制を課したが、この事案において民事制裁金を得る権限を欠いていたと述べた。異なる法権限は異なる説明責任の結果を生み出す。

ゲストは、侵害前の条件をほとんど管理していなかった。ログカバレッジを検査することも、パスポートフィールドに不整合な保護があることを知ることも、攻撃者が特権資格情報を使用していることを見ることも、レガシーシステムが稼働し続けるかどうかを選択することもできなかった。侵害後の監視、カード交換、フィッシング注意は、彼らに作業を転嫁する。削除とロイヤルティレビューの権利は助けになるが、それらは組織がデータアーキテクチャを選択した後に提供される。

結論できること、および公開記録の外に留まるもの

公開証拠は、スターウッドの予約環境が買収を通じて侵害されたままであり、マリオットはクロージング後約 2 年間侵入者を検知しなかったという確固たる結論を支持する。定義された 2018 年の期間に関する 4 つの GDPR 認定を支持する。大規模で混合したグローバルレコード集団、2024 年の米国和解、それによって執行可能となった保護措置の事実を支持する。

公開された刑事判決を通じて攻撃者を特定するものではない。ニュース報道は国家関与説を伝えてきたが、レビューされた公式記録は未知の攻撃者または悪意ある主体と記述している。公的な起訴文書または同等の権威ある証拠がない限り、帰属を主張すべきではない。

どの初期脆弱性が悪用され、どのホストに到達し、どのファイルが削除され、誰のデータがアクセスされたかを正確に示すものではない。Verizon のフォレンジックレポート、支払いカードのフォレンジックレポート、独立したコンプライアンス評価、または完全な過去のログセットを公開していない。

影響を受けたすべてのゲストが詐欺被害に遭ったこと、または誰も損害を被らなかったこと、あるいはすべてのデータの組み合わせが同等の価値を持っていたことを立証するものではない。マリオットによる 2019 年の実証された帰属可能な詐欺がないとの観察と、ICO による金銭的損害の観測がないことは証拠である。FTC によって認識された、内在するなりすましと標的型接触のリスクも同様である。正直な結論は、両方を保存する。

特定のカードやパスポートの値の回復可能性を推定するのに十分な SHA-1 実装の詳細を一般に知らせるものではない。この訂正は、保護方式の誤分類を確立するものであり、欠けている設定の詳細ではない。

現在のマリオットプログラムが無効であることを証明するものではない。方針、委員会、支出、規制上の和解、廃止されたデータベースが、後継の管理策すべてが有効であることを証明するものでもない。その問いは、運用テストと独立評価に属する。

合併の教訓は不確実性の所有である

マリオットとスターウッドからの最も強力な教訓は、企業がレガシーテクノロジーを含む買収を放棄すべきだということではない。ほとんどの大規模な取引は、未知のシステム、不均一な記録、継承された例外を伴う。また、継承されたプラットフォームを直ちに廃止するために継続性を犠牲にすべきだという教訓でもない。予約を維持しながら 1,270 のホテルを移行することは、実際の運用上の制約だった。

教訓は、不確実性そのものがクロージング時に所有リスクになるということだ。買収側は、クロージング前のアクセスが制限されていることを認めつつ、無期限のクロージング後の曖昧さを受け入れることなく、継承されたネットワークを隔離できるが、隔離をセキュリティと誤解しないこと。レガシーデータベースを一時的に維持できるが、一時的な基準を与えないこと。コンプライアンスレポートに依拠できるが、それらのレポートがカバーしない管理策をテストすること。実際のフィールドレベルの実装を追跡した後でのみ、暗号化を記述できる。

スターウッドのデータベースには、ミニチュアのビジネスモデルが含まれていた。アイデンティティ、連絡先、ロイヤルティ、支払い、移動が、国境を越えてホスピタリティを機能させるために組み立てられていた。その同じ集合は、悪用をより経済的にし、法的説明責任をより分散させた。米国におけるその物理的な場所は、人々、損害、義務をローカライズしなかった。その継承された地位は、管理者の義務を停止させなかった。

2024 年の FTC 命令は、現在、買収の原則を執行可能な文言で記述している。クロージング後に被買収企業を評価し、特定されたギャップに対する計画を策定し、買収資産をマリオットの本番環境に入れる前に欠陥に対処する。このルールは全知よりも狭く、デューデリジェンス劇場よりも強い。それは、信頼が拡大する前に、表明を証拠に変換することを所有者に求める。

マリオットは、スターウッドのブランド、ホテル、ロイヤルティ関係、システムを購入した。それらのシステムが実際に何をしていたかを発見するという負担も購入したのだ。侵害記録は、アーキテクチャ上の信念と運用上の真実の間の距離がいかに高くつくかを示している。説明責任は、次のアラートがそれをしなければならなくなる前に、その距離を縮めることから始まる。