Marriott e Starwood: o banco de dados de reservas que a Marriott comprou e a verdade de segurança que herdou

Resumo

• Verdade operacional herdada:O invasor entrou no ambiente Starwood no final de julho de 2014, mais de dois anos antes de a Marriott concluir a aquisição da Starwood em 23 de setembro de 2016. A Marriott não criou o comprometimento inicial. Após o fechamento, no entanto, ela controlava uma empresa cujo sistema de reservas ainda operacional e registros globais de hóspedes tinham que ser administrados como ativos da Marriott, mesmo enquanto as redes legadas e da Marriott permaneciam separadas.
• Cronologia e escopo:Um alerta de monitoramento de banco de dados foi gerado em 7 de setembro de 2018 e escalado para a Marriott em 8 de setembro. Investigadores encontraram um trojan de acesso remoto em 17 de setembro, identificaram arquivos de exportação criptografados excluídos em 13 de novembro, descriptografaram dois arquivos em 19 de novembro, notificaram o regulador do Reino Unido em 22 de novembro e divulgaram publicamente em 30 de novembro. O teto inicial da Marriott de 500 milhões de hóspedes tornou-se um limite superior de 383 milhões de registros e, posteriormente, os registros regulatórios usaram 339 milhões globalmente; nenhum desses números é uma contagem exata de pessoas únicas.
• Conclusões sobre dados e controle:As combinações expostas incluíam detalhes de contato, datas de nascimento, identificadores de passaporte, dados de fidelidade, informações de reserva e estadia, e dados de cartão de pagamento. O Information Commissioner's Office do Reino Unido fez quatro conclusões principais apenas para o período do GDPR: monitoramento insuficiente de contas privilegiadas, monitoramento insuficiente de banco de dados, controle inadequado de sistemas críticos e falha em criptografar todos os números de passaporte. Não fez conclusões finais sob os Artigos 33 ou 34 do GDPR e excluiu a cobertura incompleta de autenticação multifator da penalidade após considerar as representações da Marriott.
• Responsabilidade após a aplicação:O ICO impôs uma multa de £ 18,4 milhões em 2020. Em 2024, procuradores-gerais estaduais chegaram a um acordo de US$ 52 milhões e a Federal Trade Commission impôs uma ordem de 20 anos abrangendo governança de segurança, avaliação de entidades adquiridas, monitoramento, acesso, hardening, criptografia, retenção de dados e avaliação independente. A Marriott não admitiu responsabilidade no processo do ICO ou no acordo multiestadual. Esses limites processuais importam, mas não diluem a lição operacional: a aquisição fecha uma transação legal; não certifica a verdade do ambiente adquirido.

O ativo era uma empresa, um banco de dados e um histórico de segurança inacabado

A Marriott anunciou seu acordo para adquirir a Starwood em 16 de novembro de 2015. Quatro dias depois, a Starwood divulgou um incidente distinto de cartão de pagamento afetando sistemas de ponto de venda em um número limitado de hotéis na América do Norte. O relatório anual de 2015 da Starwood disse que malware havia atingido sistemas de ponto de venda de restaurantes, lojas de presentes e outros; disse que não havia indicação na época de que os sistemas de reservas ou Starwood Preferred Guest estavam afetados. (Starwood 2015 Form 10-K)

Essa divulgação não foi um aviso da intrusão no banco de dados de reservas posteriormente anunciada pela Marriott. Os dois eventos envolveram sistemas diferentes e contas públicas. Foi, no entanto, um aviso de que o ambiente da Starwood tinha um histórico de segurança. A denúncia da Federal Trade Commission de 2024 diz que o comprometimento do ponto de venda durou cerca de 14 meses, envolveu mais de 40.000 consumidores e foi associado a segmentação inadequada, controles de acesso, software sem suporte e falta de autenticação multifator.

A mesma denúncia diz que a Marriott revisou o programa de segurança da informação da Starwood durante os dez meses entre o anúncio e o fechamento, incluindo as falhas ligadas à primeira violação. Essas declarações são alegações da FTC em um assunto de consentimento, não conclusões de um julgamento contestado. (FTC complaint)

O relato da Marriott adiciona uma restrição importante. Em depoimento de 2019 a um subcomitê do Senado dos EUA, o então CEO Arne Sorenson disse que a Marriott obteve informações sobre a tecnologia da Starwood e avaliou a integração durante o período pré-fechamento, mas que a investigação era legal e praticamente limitada porque as empresas permaneciam concorrentes. A Marriott decidiu manter sua própria plataforma de reservas e retirar a da Starwood. Mudar 1.270 hotéis sem interromper as reservas levou dois anos, então o sistema Starwood continuou operando após o fechamento enquanto a Marriott disse que investiu em segurança adicional.

(Sorenson Senate testimony)

Ambos os fatos podem ser verdadeiros. O acesso pré-fechamento pode ser limitado, e um comprador ainda pode herdar um problema de controle ativo. O erro é tratar a diligência como um certificado único, em vez de uma mudança no ônus da prova. Antes do fechamento, o comprador pergunta o que pode inspecionar legalmente, o que o vendedor representa e qual proteção contratual precisa.

Após o fechamento, o proprietário pode revalidar identidades privilegiadas, inspecionar registro, procurar persistência, mapear exportações de banco de dados, testar segmentação, inventariar métodos criptográficos e decidir se um sistema legado pode continuar processando dados pessoais. A autoridade muda. A evidência também deve mudar.

A Marriott concluiu a aquisição em 23 de setembro de 2016. A Starwood tornou-se uma subsidiária integral indireta, e o grupo combinado descreveu quase 6.000 propriedades, mais de 1,1 milhão de quartos e 30 marcas em 120 países e territórios. (Marriott acquisition Form 8-K) A escala é relevante não como espetáculo, mas como um mapa de dependência. Um banco de dados de reservas não era um aplicativo de escritório periférico. Ele conectava hotéis, centrais de contato, processos de fidelidade, serviço ao hóspede e registros de viagem em um sistema global de franquias e gestão.

O registro público também estabelece um fato arquitetônico estreito, mas importante. O ICO concluiu que os sistemas acessados pelo atacante permaneciam segregados da rede mais ampla da Marriott. Disse que o ataque não forneceu acesso a dados pessoais processados apenas em sistemas não-Starwood. A separação, portanto, limitou o raio de explosão. Não tornou o ambiente adquirido seguro. O lado Starwood permaneceu em produção, e a separação sem monitoramento eficaz pode preservar um intruso tão prontamente quanto contê-lo.

Cronologia: entrada, propriedade, detecção e divulgação são datas diferentes

A violação é frequentemente comprimida na frase "acesso não autorizado desde 2014". Essa frase perde a sequência necessária para a responsabilização. Pelo menos seis relógios importam: intrusão inicial, aquisição da Marriott, início da cobertura do GDPR, alerta, confirmação de que os dados dos hóspedes estavam envolvidos e divulgação pública.

Junho de 2014 a 2015: um evento separado de cartão de pagamento da Starwood.A denúncia posterior da FTC descreve uma intrusão de 14 meses em que um ator alcançou a rede da Starwood e instalou malware de roubo de cartões de pagamento em mais de 100 propriedades próprias ou gerenciadas. A Starwood divulgou publicamente um evento de ponto de venda em nível de propriedade mais restrito em novembro de 2015 e disse que seus sistemas de reservas e fidelidade de hóspedes não foram indicados como afetados. Este evento anterior é relevante porque colocou as fraquezas da rede no contexto da aquisição.

Não deve ser retroativamente mesclado com a violação do banco de dados de reservas como se todos os fatos ou consumidores afetados fossem os mesmos.

28-29 de julho de 2014: entrada no ambiente posteriormente ligada à violação de reservas.A denúncia da FTC coloca o comprometimento de um servidor web voltado para o exterior em ou por volta de 28 de julho. O aviso de penalidade do ICO diz que um web shell foi instalado em 29 de julho em um dispositivo que suporta um aplicativo usado por funcionários da Starwood para solicitar alterações no conteúdo do site. O shell permitiu acesso remoto e a instalação de trojans de acesso remoto. A diferença de um dia reflete a precisão de duas reconstruções públicas, não necessariamente uma contradição factual. A conclusão segura é final de julho de 2014.

O invasor coletou credenciais privilegiadas e de usuário e se moveu pelo ambiente Starwood. A FTC alegou que keyloggers, malware de raspagem de memória e trojans de acesso remoto apareceram eventualmente em mais de 480 sistemas em 58 locais corporativos, data centers, centrais de contato e hotéis. O ICO descreveu o uso de contas legítimas, extração de credenciais Mimikatz e exportação de tabelas inteiras do banco de dados em arquivos de despejo. Nenhum dos registros publica o relatório forense subjacente, uma lista completa de hosts afetados ou a vulnerabilidade precisa que tornou o servidor público explorável inicialmente.

Novembro de 2015: Marriott anuncia o negócio; Starwood divulga a outra violação.Este é o momento em que o risco cibernético herdado se tornou visível como uma questão de transação. Não revelou o atacante oculto de reservas. Deu ao comprador motivos para tratar garantias técnicas, alegações de remediação, conformidade de cartão de pagamento e segmentação de rede como proposições que exigem verificação independente após a transferência de controle.

23 de setembro de 2016: Marriott fecha a aquisição.O invasor de reservas já estava presente. A Marriott diz que fez melhorias de segurança enquanto continuava operando o sistema da Starwood pendente de migração. O ICO registra que as duas redes permaneceram separadas durante o período relevante. A FTC mais tarde alegou que a Marriott tinha responsabilidade de estabelecer, revisar e implementar práticas de segurança para ambas as empresas após o fechamento.

25 de maio de 2018: o GDPR se torna aplicável.Esta data define o alcance legal da decisão do ICO. O ataque começou anos antes, mas o aviso de penalidade abordou o processamento da Marriott de 25 de maio a 17 de setembro de 2018. O ICO disse expressamente que não estava fazendo uma conclusão de infração para o período entre a aquisição e a aplicabilidade do GDPR e não decidiu se uma diligência mais profunda teria sido possível durante a aquisição. Esse limite é essencial.

O ICO usou o sistema herdado para avaliar os deveres contínuos da Marriott como controladora após a entrada em vigor do GDPR, não para inventar responsabilidade retroativa pelo GDPR para conduta de 2014 ou 2016. (ICO penalty notice)

7-8 de setembro de 2018: uma consulta de contagem gera um alerta.Em 7 de setembro, uma conta de administrador consultou a contagem de linhas de uma tabela protegida de perfil de hóspede. O IBM Guardium gerou um alerta. A Accenture, que gerenciou o banco de dados de reservas de hóspedes da Starwood, contatou a equipe de TI da Marriott em 8 de setembro. A Marriott soube que a pessoa cujas credenciais foram usadas não realizou a consulta. O alerta dizia respeito a uma tabela monitorada porque incluía detalhes de cartão; o ICO disse que outras tabelas sem dados de cartão de pagamento não tinham alertas equivalentes.

Esta foi a detecção de uma ação anômala, não conhecimento imediato de toda a violação. A consulta retornou uma contagem, não os conteúdos da linha. O mesmo dia mais tarde tornou-se contestado na análise do ICO sobre quando a Marriott estava ciente de uma violação de dados pessoais para fins de notificação do Artigo 33. Após considerar as representações da Marriott, o ICO não fez nenhuma conclusão final de infração do Artigo 33.

9-12 de setembro: resposta ao incidente e atividade contínua do atacante.A Marriott ativou seu plano de resposta a incidentes de segurança da informação e privacidade por volta de 9 ou 10 de setembro e trouxe investigadores externos em 10 de setembro. O ICO diz que outra tabela relacionada a passaporte foi exportada para um arquivo de despejo naquele dia. Em 12 de setembro, a Marriott começou a implantar monitoramento em tempo real e ferramentas forenses em aproximadamente 70.000 dispositivos legados da Starwood. O fato de uma exportação de dados ter ocorrido após o primeiro alerta é relevante;

mostra por que a geração de alertas, escalonamento de analistas, contenção e erradicação devem ser medidas separadamente.

15-18 de setembro: credenciais, malware e escalada de governança.Investigadores identificaram atividade não autorizada envolvendo credenciais de funcionários da Accenture a partir de julho. Encontraram um trojan de acesso remoto em 17 de setembro e bloquearam endereços de comando e controle. Sorenson testemunhou que foi informado naquele dia e o conselho foi notificado em 18 de setembro. O ICO selecionou 17 de setembro como o fim do período de infração para sua análise de penalidade porque foi quando o RAT foi identificado e contido, não porque todas as questões forenses foram resolvidas.

Outubro de 2018: a intrusão histórica se torna visível.Investigadores identificaram evidências de Mimikatz e malware de raspagem de memória e rastrearam a presença não autorizada até julho de 2014. A Marriott contatou o FBI em 29 de outubro. Nesta fase, de acordo com o depoimento da empresa ao Senado, os investigadores tinham evidências de uma longa intrusão, mas ainda não haviam encontrado evidências de que os dados dos hóspedes no banco de dados de reservas foram acessados.

13-19 de novembro: arquivos excluídos se tornam evidência de exportação de dados de hóspedes.Em 13 de novembro, investigadores encontraram vestígios de dois arquivos compactados, criptografados e excluídos. Eles os descriptografaram em 19 de novembro e encontraram exportações de tabelas de perfil de hóspede e relacionadas a passaporte. Essa foi a data em que a Marriott diz que determinou que os arquivos continham informações pessoais do banco de dados de reservas de hóspedes da Starwood.

A distinção entre a anomalia de setembro e a confirmação de novembro explica o atraso investigativo sem provar por si só que cada decisão de notificação foi oportuna.

22-30 de novembro: aviso regulatório e divulgação pública.A Marriott notificou o ICO em 22 de novembro. Encontrou evidências de cópias históricas adicionais da tabela em 25 e 26 de novembro, notificou as redes de cartão de pagamento e uma série de autoridades, e anunciou o incidente publicamente em 30 de novembro. Seu aviso inicial disse que o banco de dados estava nos Estados Unidos e continha registros relacionados a reservas em propriedades Starwood em ou antes de 10 de setembro de 2018. (Marriott November 2018 incident notice)

18-31 de dezembro de 2018: aposentadoria.Sorenson disse que a Marriott parou de usar o banco de dados de reservas de hóspedes da Starwood para operações comerciais em 18 de dezembro. A atualização de janeiro da Marriott descreveu a eliminação gradual como efetiva até o final do ano. A aposentadoria encerrou seu papel em reservas ativas, mas uma aposentadoria segura também requer disposição de cópias, credenciais, chaves, imagens forenses, backups e retenções legais. O registro público não fornece um inventário completo de destruição.

2019-2020: mudanças de escopo e uma penalidade final no Reino Unido.A Marriott revisou suas contagens em janeiro e em seu relatório anual. O ICO emitiu um aviso de intenção em julho de 2019 propondo £ 99.200.396. Após as representações escritas da Marriott, consulta com outras autoridades europeias, análise de mitigação e um ajuste de COVID-19, a penalidade final foi de £ 18,4 milhões em 30 de outubro de 2020. A Marriott disse que não recorreu, mas não fez admissão de responsabilidade. (Marriott response to final ICO decision)

Abril de 2024: uma descrição criptográfica de cinco anos muda.A Marriott adicionou uma atualização aos seus avisos de 2018 e 2019: números de cartão de pagamento e alguns números de passaporte que havia descrito como protegidos com criptografia AES-128 estavam, em vez disso, protegidos com SHA-1. Essa correção não muda o fato de acesso não autorizado. Muda como os leitores devem interpretar as declarações antigas sobre criptografia e chaves.

Outubro-dezembro de 2024: resoluções paralelas nos EUA se tornam executáveis.Uma coalizão de 50 procuradores-gerais anunciou um acordo de US$ 52 milhões cobrindo 131,5 milhões de registros de hóspedes associados aos EUA e salvaguardas de longo prazo. A FTC anunciou um acordo de consentimento paralelo em outubro e finalizou sua decisão e ordem em 20 de dezembro. O assunto da FTC abordou três violações de 2014 a 2020, portanto, nem toda alegação ou medida nesse processo pertence exclusivamente ao incidente de reservas da Starwood.

2025-2026: litígio privado permanece uma trilha separada.Em junho de 2025, o Quarto Circuito manteve uma renúncia a ação coletiva e reverteu a certificação de classes contra a Marriott; não decidiu as reivindicações subjacentes de violação após um julgamento. (Fourth Circuit opinion) O Formulário 10-K da Marriott arquivado em 10 de fevereiro de 2026 diz que alguns autores moveram ações individuais em Nova York, discussões de mediação continuaram no litígio multidistrital federal, os assuntos canadenses foram efetivamente consolidados em Ontário, e a Marriott contestou as alegações. (Marriott 2025 Form 10-K)

Os números são registros, pessoas, regiões e populações processuais

Nenhum número único de violação pode representar com segurança todos os propósitos. As estimativas da Marriott mudaram à medida que os investigadores deduplicaram e classificaram tabelas. Reguladores e tribunais posteriormente usaram diferentes populações ligadas à sua jurisdição ou processo.

A diferença entre um registro e uma pessoa não é uma questão editorial. Um hóspede pode ter múltiplas estadias, endereços, acompanhantes, entradas de fidelidade ou perfis duplicados. Diferentes tabelas podem identificar a mesma pessoa de maneiras inconsistentes. A Marriott disse ao Senado que não podia decidir com confiança se nomes e endereços correspondentes ou semelhantes pertenciam a uma pessoa ou a várias. Um inventário de dados defensável deve resolver o suficiente desse problema de identidade antes de um incidente, não descobrir durante a notificação que não pode afirmar quantas pessoas possui.

As categorias também variaram. O primeiro aviso da Marriott disse que aproximadamente 327 milhões de registros continham alguma combinação de nome, endereço postal, número de telefone, endereço de e-mail, número de passaporte, informações do Starwood Preferred Guest, data de nascimento, gênero, informações de chegada e partida, data de reserva e preferências de comunicação. Alguns incluíam número de cartão de pagamento e data de validade. O restante foi descrito como nome mais, em alguns casos, outro campo como endereço ou e-mail. "Alguma combinação" é um aviso contra tratar cada campo listado como presente para cada hóspede.

O relato em nível de tabela do ICO adiciona detalhes operacionais. Uma tabela de compartilhamento de reservas incluía identificadores de hóspede e fidelidade, flags VIP, país e número do passaporte, informações de chegada e partida, detalhes de contato, número do voo, código da companhia aérea, status de check-in e o número de hóspedes em um quarto. Outra tabela incluía tipo de quarto, contagens de hóspedes adultos e crianças, e solicitações de berço ou cama auxiliar. Esses campos podem revelar contexto familiar e de viagem mesmo sem uma credencial financeira.

As contagens de passaporte e cartão de pagamento também se moveram. A atualização de 4 de janeiro de 2019 da Marriott listou cerca de 5,25 milhões de números de passaporte não criptografados e 20,3 milhões de números de passaporte então descritos como criptografados. Listou cerca de 8,6 milhões de cartões de pagamento então descritos como criptografados, dos quais 354.000 não estavam vencidos em setembro de 2018, e menos de 2.000 valores de 15 ou 16 dígitos em outros campos que poderiam ser números de cartão não criptografados. (Marriott January 2019 update)

Pelo Formulário 10-K de 2018 e depoimento de março de 2019, a empresa usou aproximadamente 18,5 milhões de números de passaporte protegidos, 9,1 milhões de cartões de pagamento protegidos e 385.000 cartões não vencidos em setembro de 2018. Disse que os dados poderiam incluir vários milhares de números de cartão de pagamento não criptografados. O relatório anual também registrou US$ 28 milhões de despesas com incidentes em 2018, parcialmente compensados por US$ 25 milhões em recuperações de seguros acumuladas; essas entradas contábeis medem custos de resposta, não danos aos hóspedes. (Marriott 2018 Form 10-K)

A apresentação correta é, portanto, um conjunto de estimativas limitadas, não uma competição para escolher o número maior ou mais recente. Também é importante preservar a incerteza em ambas as direções. Registros duplicados tornam a contagem de pessoas únicas menor do que os totais de registros. Arquivos desconhecidos ou não recuperados, telemetria histórica incompleta e campos de texto livre podem tornar a reconstrução precisa em nível de campo mais difícil.

O que o ICO concluiu, e o que deliberadamente não concluiu

O aviso de penalidade do ICO é o registro adjudicativo público mais forte para falhas de segurança no ambiente de reservas da Starwood. Também é mais estreito do que muitos resumos implicam.

Primeiro, o ICO concluiu que a Marriott, como controladora, infringiu o Artigo 5(1)(f) e o Artigo 32 do GDPR ao não processar dados pessoais com segurança apropriada. A decisão cobriu de 25 de maio a 17 de setembro de 2018. O texto oficial do GDPR torna a segurança baseada em risco: medidas apropriadas dependem do estado da arte, custo de implementação, contexto do processamento e risco aos direitos e liberdades das pessoas. A obrigação não é uma garantia de que nenhum atacante terá sucesso. É uma obrigação de implementar e testar medidas apropriadas aos dados e sistema reais.

Segundo, o aviso final identificou quatro falhas principais.

Monitoramento insuficiente de contas privilegiadas.O atacante usou credenciais legítimas para atividade não autorizada. O ICO concluiu que a Marriott não tinha monitoramento contínuo apropriado da atividade do usuário, especialmente contas privilegiadas, dentro do ambiente de dados do titular do cartão. A Marriott tinha um centro de operações de segurança, testes de penetração anuais e relatórios de conformidade de cartão de pagamento. O regulador concluiu que esses controles não avaliaram as configurações de registro relevantes e não substituíram a necessidade de detectar uso anormal após a autenticação.

Monitoramento insuficiente de bancos de dados.O Guardium registrava e alertava sobre atividades selecionadas, mas o ICO concluiu que havia alertas de banco de dados incompletos, agregação de logs insuficiente e falha em registrar ações como criação de arquivos e exportação de tabelas completas. O alerta que finalmente importou foi aplicado a uma tabela contendo dados de cartão. Outras tabelas de dados pessoais não tinham alertas equivalentes. A sensibilidade do cartão de pagamento pode justificar controles mais fortes, mas o regulador disse que não justificava não alertar sobre outros dados pessoais.

Controle inadequado de sistemas críticos.O ICO concluiu que o hardening apropriado do servidor, como controle de execução ou allowlisting equivalente em sistemas críticos, poderia ter limitado o reconhecimento, a escalada de privilégios e a execução de malware. A decisão não prescreveu allowlisting em todos os lugares. Focou em dispositivos críticos e sistemas capazes de alcançar grandes ou sensíveis armazenamentos de dados pessoais.

Falha em criptografar todos os números de passaporte.Aproximadamente 5,25 milhões de números de passaporte estavam não criptografados. O ICO não encontrou nenhuma avaliação de risco documentada que explicasse por que alguns números de passaporte receberam proteção criptográfica e outros não. Seu ponto mais amplo não foi que todo campo deve ser sempre criptografado. Foi que a proteção seletiva precisa de uma justificativa baseada em evidências e implementação significativa.

A correção de SHA-1 de 2024 complica a linguagem técnica da última conclusão. O aviso de penalidade discutiu AES-128 com base no registro então disponível. A Marriott posteriormente disse que números de cartão de pagamento e alguns números de passaporte nas tabelas foram protegidos usando SHA-1. Essa declaração posterior deve substituir a descrição antiga do algoritmo para esses subconjuntos; não apaga a conclusão do ICO de que milhões de números de passaporte foram deixados não criptografados ou sua conclusão de que a Marriott não havia mostrado uma avaliação de risco consistente.

As exclusões são igualmente importantes.

O ICOnãopenalizou a Marriott por cobertura incompleta de autenticação multifator. A Marriott confiou em garantias de gestão e relatórios de conformidade de cartão de pagamento de 2016 e 2017 afirmando que o MFA protegia o acesso ao ambiente segmentado do titular do cartão. A implementação estava de fato incompleta, mas após considerar as representações da Marriott, o ICO aceitou essa confiança para o propósito específico diante dele e removeu o MFA das conclusões finais de penalidade. Um relato cuidadoso ainda pode discutir a lacuna operacional; não pode chamar essa lacuna de uma das quatro infrações finais do ICO.

O ICOnãofez uma conclusão final de notificação de violação do Artigo 33. Rejeitou parte do raciocínio jurídico da Marriott sobre consciência, mas considerou o alerta limitado de setembro, a falta de conhecimento da Marriott sobre a exportação da tabela até 13 de novembro e a descriptografia em 19 de novembro, e então retirou a conclusão proposta. Também feznenhuma conclusão final do Artigo 34sobre comunicação às pessoas afetadas. O regulador criticou um e-mail que se referia a uma central de atendimento sem incluir o número de telefone, mas aceitou que o e-mail vinculava ao site dedicado onde o número estava disponível.

O ICOnãodecidiu que a due diligence pré-fechamento da Marriott era legalmente insuficiente. Reconheceu que a due diligence aprofundada de um concorrente pode ser limitada e excluiu a conduta pré-GDPR da decisão. Concluiu que a due diligence não é um evento único e que a Marriott não poderia continuar processando sob o GDPR em sistemas herdados deficientes simplesmente porque as fraquezas antecederam a lei ou a aquisição.

Finalmente, o valor de £ 18,4 milhões não deve ser confundido com a proposta de 2019. O aviso final considerou as submissões da Marriott, resposta rápida pós-alerta, cooperação, ausência de evidências de dano financeiro vistas pelo ICO, outros fatores mitigantes e o impacto da COVID-19. A Marriott não recorreu. Sua declaração de não admissão coexiste com uma decisão reguladora final que expressamente concluiu infrações. "Não admissão" descreve a posição processual da Marriott; não converte as conclusões do ICO em alegações.

A correção de 2024 transforma o gerenciamento de chaves em um problema de inventário

O aviso original da Marriott disse que os valores do cartão de pagamento estavam criptografados com AES-128 e exigiam dois componentes para descriptografar; na época, a empresa não podia descartar que ambos foram levados. A atualização de janeiro de 2019 disse que não havia evidências de que o atacante acessou a chave mestra necessária para números de passaporte protegidos ou qualquer componente necessário para números de cartão protegidos. Em depoimento de março, Sorenson disse que a Marriott não havia encontrado evidências de acesso à chave mestra, mas não podia descartá-lo.

Essas declarações enquadravam o risco como texto cifrado mais possível comprometimento de chave. A atualização de abril de 2024 da Marriott mudou o quadro: números de cartão de pagamento e alguns números de passaporte nas tabelas afetadas foram protegidos com SHA-1 em vez de AES-128. SHA-1 é uma função hash, não um esquema de criptografia. O NIST descreve um hash como mapeamento de dados para um digest de tamanho fixo e vem se afastando do SHA-1 para proteção criptográfica. (NIST hash-function overview, NIST SHA-1 transition notice)

Essa distinção importa. A criptografia é projetada para ser reversível com um segredo ou processo autorizado. Hashing é normalmente usado para produzir um digest e não é "descriptografado" com a chave mestra descrita nos avisos anteriores. Mas a correção pública não divulga se os valores foram salgados, chaveados, truncados, tokenizados em outra camada, emparelhados com tabelas de consulta ou transformados de outra forma. Também não identifica os subconjuntos exatos de passaporte e cartão aos quais o SHA-1 foi aplicado ou diz se alguém recuperou os identificadores subjacentes desses valores.

Seria irresponsável fabricar esses detalhes.

A conclusão de responsabilidade é mais estreita e ainda significativa: cinco anos após a divulgação, a descrição pública de um mecanismo de proteção central mudou de categoria. Isso sugere uma falha de inventário criptográfico, tradução de evidências ou ambos. Uma organização deve saber, por campo e cópia, se os dados são texto simples, criptografados, tokenizados ou hash; qual algoritmo e modo se aplicam; onde residem as chaves ou segredos; quem pode invocá-los; qual estado de migração existe; e como esses fatos foram testados.

Isso é especialmente importante durante a aquisição. Um documento de política dizendo "campos sensíveis estão criptografados" não é um inventário em nível de campo. Um relatório de conformidade de cartão de pagamento não é prova de que todo campo de passaporte em toda tabela legada recebe o mesmo tratamento. Um nome de algoritmo em um aviso de incidente não é confiável até que os investigadores rastreiem o código do aplicativo, a configuração do esquema, os serviços de chave, os valores armazenados e as versões históricas.

Um bom gerenciamento de chaves também não pode compensar o uso não controlado por um aplicativo autorizado. Se um atacante controla uma conta privilegiada ou processo de banco de dados que pode solicitar texto simples, a criptografia em repouso pode oferecer pouca proteção durante consultas ativas ou exportação. O ICO fez esse ponto indiretamente: o MFA no limite externo não removeu a necessidade de registro interno, e a criptografia dependia de arquitetura significativa e gerenciamento de chaves. Os controles devem ser em camadas em torno do uso, não meramente anexados ao armazenamento.

Dados nos Estados Unidos permaneceram governados por pessoas e leis em outros lugares

O primeiro aviso da Marriott disse que o banco de dados de reservas de hóspedes da Starwood estava nos Estados Unidos. Os registros eram globais. O ICO contou 30,1 milhões de registros associados a estados do EEE e 7 milhões associados ao Reino Unido. Os estados posteriormente usaram 131,5 milhões de registros associados aos EUA. A localização física do banco de dados, portanto, respondeu a uma pergunta: onde um sistema específico operava.

Não respondeu quem eram as pessoas, quais estabelecimentos processaram seus dados, quais autoridades tinham jurisdição, ou qual hotel, franqueado, provedor de serviços e equipe corporativa poderia acessá-lo.

Soberania e localidade de dados devem ser separadas em pelo menos quatro camadas.

Localidade de armazenamentoé onde residem os bancos de dados primários, réplicas, backups, arquivos de exportação, logs e cópias forenses. O registro público identifica o banco de dados de reservas como baseado nos EUA, mas não fornece um mapa completo de cada cópia ou backup.

Localidade de acessoé onde usuários, serviços e administradores podem exercer autoridade sobre os dados. A Accenture gerenciou o banco de dados; as operações Starwood e Marriott abrangiam muitos países; processos de hotel e central de contato alimentavam o sistema de reservas. Um banco de dados pode permanecer em hardware dos EUA enquanto o acesso privilegiado e as decisões operacionais cruzam fronteiras.

Localidade legalsegue pessoas, estabelecimentos, processamento e lei aplicável, não apenas racks. O ICO atuou como autoridade de supervisão líder para processamento transfronteiriço sob o mecanismo de cooperação do GDPR. Estados dos EUA invocaram suas próprias leis de proteção ao consumidor e informações pessoais. Um banco de dados central pode, portanto, acumular um perímetro legal distribuído.

Localidade de negóciosé onde o registro tem significado. Datas de chegada, acompanhantes, status VIP, companhia aérea e localização do hotel estão ligados ao movimento e relacionamentos do viajante. Centralizá-los pode apoiar o serviço global, mas também cria uma descrição concentrada de atividade entre jurisdições.

A declaração de privacidade global atual da Marriott diz que a transferência internacional é essencial para seu serviço global, que os dados podem ser movidos para países com padrões de proteção diferentes e que mecanismos de transferência aprovados são usados quando apropriado. Também afirma critérios de retenção baseados em finalidade e lei. (Marriott Group Global Privacy Statement) Isso é evidência útil do modelo de governança atual, não prova da arquitetura Starwood de 2014-2018 ou conformidade histórica.

A lição não é que os dados globais de reservas devem sempre permanecer no país do viajante. A evidência suporta uma regra mais prática: um controlador global precisa de um mapa em nível de registro conectando propósito, pessoa, fonte, armazenamento, acesso, mecanismo de transferência, retenção, controles de segurança e entidade legal responsável. Sem esse mapa, "o banco de dados está nos Estados Unidos" torna-se um fato de localização apresentado como se fosse uma resposta de governança.

O registro exposto reduziu o custo do contato convincente

Cartões de pagamento e passaportes atraem atenção imediata porque são instrumentos familiares de identidade e financeiros. As tabelas da Starwood também continham uma fonte mais silenciosa de dano: os ingredientes para contato crível.

Uma mensagem de phishing comum paga um imposto de credibilidade. O remetente deve persuadir o destinatário de que a mensagem diz respeito a um relacionamento, evento ou transação real. Um conjunto de dados de reservas pode reduzir esse custo. Uma mensagem pode nomear uma marca de hotel, estadia aproximada, relacionamento de fidelidade, janela de chegada, destino, contexto de acompanhante, preferência de comunicação ou voo. Detalhes de contato fornecem a rota; detalhes de viagem fornecem o pretexto; campos de status e preferência ajudam a selecionar o tom.

Isso é economia de contato de abuso. O registro não precisa permitir que um atacante abra diretamente uma conta bancária para ser útil. Pode tornar o próximo pedido mais barato de personalizar e mais difícil para o destinatário descartar. A CISA define spearphishing como direcionamento de um indivíduo com informações-chave sobre essa pessoa. (CISA phishing guidance) O alerta ao consumidor da FTC sobre a Marriott advertiu que golpistas poderiam explorar o próprio anúncio da violação se passando pela Marriott e direcionando os destinatários para sites falsos. (FTC Marriott breach advice)

O banco de dados combinou vários caminhos de abuso:

• Um nome, e-mail e número de telefone reduzem o custo de descoberta e permitem a mudança de canal de e-mail para texto ou voz.
• Detalhes de reserva e estadia fornecem uma história plausível de problema de serviço, reembolso, fatura, ajuste de fidelidade ou aviso de segurança.
• Dados de chegada, partida, companhia aérea e localização podem fazer a urgência parecer contemporânea.
• Identificadores de fidelidade criam uma segunda classe de ativos: pontos, acesso à conta e um relacionamento de longo prazo com o cliente.
• Números de passaporte e datas de nascimento podem fortalecer tentativas de personificação ou fornecer fragmentos de verificação, mesmo que um número de passaporte sozinho não seja um passaporte físico.
• Status VIP, empregador ou contexto de preferência podem ajudar a priorizar alvos ou adaptar contato de estilo executivo.
• Contagens de acompanhantes e crianças podem expor contexto relacional que a pessoa afetada não esperava que fosse usado fora das operações de hospitalidade.

Esses são mecanismos de abuso plausíveis apoiados pelos campos e orientação geral de fraude. Não são prova de que uma campanha nomeada usou os registros da Starwood. Em março de 2019, Sorenson testemunhou que a Marriott não havia recebido reivindicações de perda por fraude substanciadas atribuíveis ao incidente e não havia encontrado as tabelas afetadas oferecidas para venda em seu monitoramento. O ICO disse posteriormente que não havia visto evidências de dano financeiro.

A denúncia da FTC, por outro lado, alegou que os registros detalhados causaram ou provavelmente causariam danos substanciais, incluindo phishing, uso indevido de identidade e o ônus de monitorar e substituir credenciais. A diferença é em parte postura legal e em parte tempo: ausência de uso indevido observado não é prova de não exposição, mas dano provável não é prova de fraude consumada.

A economia de contato também afeta a notificação. A Marriott precisou enviar e-mails para os hóspedes afetados, mas a própria existência de uma campanha de notificação amplamente divulgada criou um pretexto para impostores. Os avisos reais da empresa tinham que ser distinguíveis, multilíngues e acessíveis por canais verificáveis de forma independente. A discussão do ICO sobre o número da central de atendimento omitido mostra que a qualidade da notificação é um controle de segurança, não um acessório de relações públicas.

O remédio de longo prazo é a minimização de dados. Se um campo não é mais necessário para serviço, lei, prevenção de fraude ou um propósito operacional definido, retê-lo preserva um subsídio ao atacante. A ordem final da FTC exige uma política de retenção vinculada ao propósito da coleta e à necessidade específica do negócio, uma rota de exclusão para consumidores dos EUA e limites ao uso de informações excluídas para marketing. A ordem transforma a superfície de abuso reduzida em uma obrigação de governança.

Três registros de execução, três tipos diferentes de responsabilidade

A penalidade do ICO, o acordo estadual e a ordem da FTC não devem ser misturados em uma multa indiferenciada.

Apenalidade do ICOé uma decisão administrativa final que conclui infrações ao GDPR por um período definido de 2018. Impôs £ 18,4 milhões. A Marriott não recorreu, mas disse que não admitiu responsabilidade. A conclusão, o cálculo da penalidade e as exclusões estão contidos em um aviso de 91 páginas.

Oacordo multiestadualresolveu alegações estaduais e exigiu um pagamento de US$ 52 milhões. O anúncio de Connecticut diz que a coalizão alegou violações de leis de proteção ao consumidor, informações pessoais e, quando aplicável, notificação de violação. Exige um programa abrangente de segurança da informação, princípios de zero trust, inventário de ativos, hardening, criptografia, segmentação, correção, monitoramento, supervisão de fornecedores e franqueados, exclusão de consumidores e proteções de fidelidade, avaliação de entidades adquiridas e revisões independentes bienais por 20 anos.

(Connecticut attorney general settlement announcement) Os julgamentos registrados afirmam que a Marriott não admite violação ou responsabilidade; o pagamento do acordo não é um veredito de julgamento para cada pessoa afetada. (Vermont final judgment)

Oassunto da FTCé um processo de consentimento administrativo. A denúncia alega representações de segurança enganosas e práticas de segurança injustas em toda a violação anterior de ponto de venda da Starwood, a violação de reservas da Starwood e um incidente posterior de credenciais da Marriott divulgado em 2020. As alegações na denúncia devem ser identificadas como alegações. A decisão e ordem finais são vinculativas independentemente de cada alegação ter sido testada em tribunal.

A ordem final da FTC exige um programa de segurança escrito, avaliações de risco anuais e pós-incidente, relatórios ao conselho, revisão ativa de logs em até 24 horas, controles sobre uso indevido de credenciais válidas, privilégio mínimo, autenticação multifator, hardening de configuração, inventário de ativos e dados pessoais, criptografia ou decisões de proteção equivalentes, gerenciamento de patches, segmentação e testes de penetração, controles de fornecedores, supervisão de franqueados, relatórios de incidentes, certificação do CEO e avaliações independentes a cada dois anos por 20 anos.

Uma disposição torna explícita a lição da aquisição. Após a Marriott fechar uma aquisição de uma entidade que processa informações pessoais, ela deve avaliar se o programa da entidade adquirida está em conformidade com a ordem, criar um plano e cronograma para lacunas e resolver deficiências em ativos de TI adquiridos antes de usá-los como ativos de produção da Marriott. Isso não requer onisciência antes do fechamento. Exige admissão controlada à produção após o fechamento.

A ordem também dá aos consumidores dos EUA um caminho de solicitação de exclusão vinculado a endereço de e-mail ou número de conta de fidelidade e exige que a Marriott revise atividades de fidelidade suspeitas não autorizadas e restaure pontos quando determinar que atividade não autorizada de terceiros causou uma redução, sujeito aos termos da ordem. A explicação ao consumidor da FTC torna esses remédios mais fáceis de ver do que o documento legal.

A execução não prova a eficácia do controle presente. Uma ordem especifica deveres; um avaliador testa a implementação; uma certificação aloca responsabilidade. Os leitores públicos ainda não têm os relatórios de avaliação independente, registros de exceção detalhados ou inventário criptográfico em nível de campo. O relatório anual de 2025 da Marriott diz que as resoluções criam requisitos de longo prazo e que a não conformidade pode levar a novas execuções. Também descreve um Comitê de Supervisão de Tecnologia e Segurança da Informação do conselho e processos contínuos de risco cibernético.

Essas são estruturas de governança e representações da empresa, não uma opinião de garantia pública.

O litígio privado adiciona outra via de responsabilidade, mas não um veredito de responsabilidade limpo. A decisão do Quarto Circuito de 2025 tratou da aplicabilidade de uma renúncia a ação coletiva nos termos de fidelidade. A descertificação muda como as reivindicações podem ser agregadas; não decide se a segurança era razoável, se uma pessoa específica sofreu perda ou se cada reivindicação individual falha. O relatório anual mais recente da Marriott diz que contesta as alegações e que os processos continuavam em 31 de dezembro de 2025.

Um scorecard de controle pós-aquisição

A pergunta útil do conselho não é "A due diligence aconteceu?" É "Quais reivindicações herdadas foram convertidas de forma independente em evidências operacionais?"