Marriott и Starwood: база бронирований, которую купил Marriott, и правда о безопасности, которую он унаследовал

Кратко

• Унаследованная операционная правда:злоумышленник проник в среду Starwood в конце июля 2014 года — более чем за два года до того, как Marriott завершил приобретение Starwood 23 сентября 2016 года. Marriott не создавал исходную компрометацию. Однако после закрытия сделки он контролировал компанию, чья всё ещё работающая система бронирования и глобальные записи о гостях должны были управляться как активы Marriott, даже пока унаследованные сети и сети Marriott оставались разделёнными.
• Хронология и масштаб:7 сентября 2018 года система мониторинга баз данных сгенерировала предупреждение, а 8 сентября его передали в Marriott. Следователи обнаружили троян удалённого доступа 17 сентября, нашли удалённые зашифрованные файлы экспорта 13 ноября, расшифровали два файла 19 ноября, уведомили британского регулятора 22 ноября и публично раскрыли инцидент 30 ноября. Первоначальный верхний предел Marriott в 500 млн гостей стал верхней границей в 383 млн записей, а позже в регуляторных документах фигурировали 339 млн по всему миру; ни одна из этих цифр не является точным числом уникальных людей.
• Данные и выводы о контроле:в раскрытых комбинациях были контактные данные, даты рождения, паспортные идентификаторы, данные программ лояльности, информация о бронированиях и проживании, а также данные платёжных карт. Управление комиссара по информации Великобритании (ICO) сделало четыре основных вывода только за период действия GDPR: недостаточный мониторинг привилегированных учётных записей, недостаточный мониторинг баз данных, неадекватный контроль критических систем и отсутствие шифрования всех номеров паспортов. Оно не делало окончательных выводов по статьям 33 и 34 GDPR и после рассмотрения представлений Marriott исключило неполное покрытие многофакторной аутентификацией из состава штрафа.
• Ответственность после принудительных мер:в 2020 году ICO наложило штраф в размере £18,4 млн. В 2024 году генеральные прокуроры штатов достигли мирового соглашения на $52 млн, а Федеральная торговая комиссия (FTC) ввела предписание сроком на 20 лет, охватывающее управление безопасностью, оценку приобретённых компаний, мониторинг, доступ, усиление защиты, криптографию, хранение данных и независимые проверки. Marriott не признавал ответственность ни в процессе ICO, ни в многостороннем мировом соглашении. Эти процессуальные ограничения важны, но они не размывают операционный урок: закрытие сделки завершает юридическую транзакцию, но не удостоверяет правду о приобретённой среде.

Актив: компания, база данных и незавершённая история безопасности

Marriott объявил о соглашении о приобретении Starwood 16 ноября 2015 года. Четыре дня спустя Starwood раскрыл отдельный инцидент с платёжными картами, затронувший POS-системы в ограниченном числе отелей Северной Америки. В годовом отчёте Starwood за 2015 год говорилось, что вредоносное ПО попало в системы ресторанов, сувенирных магазинов и другие POS-системы; при этом тогда не было указаний на то, что пострадали системы бронирования или Starwood Preferred Guest. (Форма 10-K Starwood за 2015 год)

Это раскрытие не было уведомлением о вторжении в базу бронирований, о котором позже объявил Marriott. Два события касались разных систем и публичных версий. Однако это было уведомление о том, что у среды Starwood есть история инцидентов безопасности. В жалобе Федеральной торговой комиссии (FTC) 2024 года говорится, что компрометация POS-систем длилась около 14 месяцев, затронула более 40 000 потребителей и была связана с недостаточной сегментацией, дефектами контроля доступа, неподдерживаемым программным обеспечением и отсутствием многофакторной аутентификации.

В той же жалобе говорится, что Marriott проверял программу информационной безопасности Starwood в течение десяти месяцев между объявлением и закрытием сделки, включая недостатки, связанные с первой утечкой. Эти утверждения — обвинения FTC в рамках дела, завершившегося соглашением, а не выводы состязательного судебного разбирательства. (Жалоба FTC)

Рассказ Marriott добавляет важное ограничение. В показаниях 2019 года перед подкомитетом Сената США тогдашний генеральный директор Arne Sorenson заявил, что в период до закрытия сделки Marriott получал информацию о технологиях Starwood и оценивал интеграцию, но эта работа была ограничена юридически и практически, поскольку компании оставались конкурентами. Marriott решил сохранить собственную платформу бронирования и вывести из эксплуатации платформу Starwood. Перевод 1270 отелей без нарушения работы бронирования занял два года, поэтому система Starwood продолжала работать и после закрытия сделки, а Marriott, по его словам, вкладывался в дополнительную безопасность. (Показания Sorenson в Сенате)

Оба факта могут быть истинными. Доступ до закрытия сделки может быть ограничен, и покупатель всё равно может получить в наследство живую проблему контроля. Ошибка — относиться к due diligence как к разовому сертификату, а не как к смене бремени доказывания. До закрытия сделки покупатель спрашивает, что он вправе проверить, что заявляет продавец и какая договорная защита ему нужна.

После закрытия владелец может заново подтвердить привилегированные учётные записи, изучить журналы, поискать следы закрепления злоумышленника, составить карту экспорта баз данных, проверить сегментацию, провести инвентаризацию криптографических методов и решить, может ли унаследованная система продолжать обрабатывать персональные данные. Полномочия меняются. Должны меняться и доказательства.

Marriott завершил приобретение 23 сентября 2016 года. Starwood стал косвенной полностью принадлежащей дочерней компанией, а объединённая группа насчитывала почти 6000 объектов недвижимости, более 1,1 млн номеров и 30 брендов в 120 странах и территориях. (Форма 8-K Marriott о приобретении) Масштаб важен не как зрелище, а как карта зависимостей. База бронирований не была периферийным офисным приложением. Она связывала отели, контакт-центры, процессы программ лояльности, обслуживание гостей и записи о поездках по всей глобальной франчайзинговой и управленческой системе.

Публичный материал устанавливает и узкий, но важный архитектурный факт. ICO установило, что системы, к которым получил доступ злоумышленник, оставались изолированы от более широкой сети Marriott. По его словам, атака не дала доступа к персональным данным, которые обрабатывались только в системах, не относящихся к Starwood. Разделение, таким образом, ограничило радиус поражения. Оно не сделало приобретённую среду безопасной. Сторона Starwood оставалась в эксплуатации, а разделение без эффективного мониторинга может столь же легко сохранить злоумышленника, сколь и сдержать его.

Хронология: проникновение, смена владельца, обнаружение и раскрытие — разные даты

Утечку часто сжимают в фразу «несанкционированный доступ с 2014 года». Эта фраза теряет последовательность, необходимую для установления ответственности. Важны как минимум шесть моментов времени: первоначальное вторжение, приобретение Marriott, начало действия GDPR, предупреждение, подтверждение того, что затронуты данные гостей, и публичное раскрытие.

Июнь 2014 — 2015 год: отдельный инцидент Starwood с платёжными картами.В более поздней жалобе FTC описывается вторжение длительностью 14 месяцев, в ходе которого злоумышленник получил доступ к сети Starwood и установил вредоносное ПО для кражи платёжных карт более чем в 100 собственных и управляемых объектах. В ноябре 2015 года Starwood публично раскрыл более узкий инцидент на уровне объектов с POS-системами и заявил, что системы бронирования и лояльности не показали признаков воздействия. Этот ранний инцидент важен, потому что он поместил слабости сети в контекст сделки. Его не следует задним числом сливать с утечкой базы бронирований, как будто все факты и затронутые потребители одинаковы.

28–29 июля 2014 года: проникновение в среду, позже связанное с утечкой базы бронирований.В жалобе FTC компрометация внешнего веб-сервера датируется примерно 28 июля. В уведомлении ICO о штрафе говорится, что 29 июля на устройстве, поддерживающем приложение, с помощью которого сотрудники Starwood запрашивали изменения контента сайта, был установлен веб-шелл. Шелл обеспечивал удалённый доступ и установку троянов удалённого доступа. Разница в один день отражает точность двух публичных реконструкций, а не обязательно фактическое противоречие. Безопасный вывод — конец июля 2014 года.

Злоумышленник собрал привилегированные и пользовательские учётные данные и перемещался по среде Starwood. FTC утверждала, что кейлоггеры, вредоносное ПО для считывания памяти и трояны удалённого доступа в итоге появились более чем на 480 системах в 58 корпоративных точках, дата-центрах, контакт-центрах и отелях. ICO описало использование легитимных учётных записей, извлечение учётных данных с помощью Mimikatz и экспорт целых таблиц базы данных в файлы дампов.

Ни один из документов не публикует лежащий в основе отчёт о расследовании, полный список затронутых хостов или точную уязвимость, которая изначально сделала публичный сервер эксплуатируемым.

Ноябрь 2015 года: Marriott объявляет о сделке; Starwood раскрывает другую утечку.Это момент, когда унаследованный киберриск стал виден как проблема сделки. Он не выявил скрытого злоумышленника в системе бронирования. Зато он дал покупателю основание рассматривать технические заверения, обещания об устранении недостатков, соответствие стандартам платёжных карт и сегментацию сети как утверждения, требующие независимой проверки после перехода контроля.

23 сентября 2016 года: Marriott закрывает сделку.Злоумышленник в системе бронирования уже присутствовал. Marriott заявляет, что усиливал безопасность, продолжая эксплуатировать систему Starwood до миграции. ICO фиксирует, что две сети оставались раздельными в соответствующий период. FTC позже утверждала, что после закрытия сделки ответственность за создание, пересмотр и внедрение практик безопасности для обеих компаний лежала на Marriott.

25 мая 2018 года: начинает применяться GDPR.Эта дата определяет юридический охват решения ICO. Атака началась годами раньше, но уведомление о штрафе касалось обработки данных Marriott с 25 мая по 17 сентября 2018 года. ICO прямо заявило, что не устанавливает нарушение за период между приобретением и началом применения GDPR и не решало, была ли возможна более глубокая проверка во время поглощения. Эта граница принципиальна. ICO использовало унаследованную систему, чтобы оценить продолжающиеся обязанности Marriott как контролёра данных после вступления GDPR в силу, а не для того, чтобы сконструировать ретроспективную ответственность по GDPR за действия 2014 или 2016 годов.

(Уведомление ICO о штрафе)

7–8 сентября 2018 года: запрос количества записей порождает предупреждение.7 сентября учётная запись администратора запросила количество строк защищённой таблицы профилей гостей. IBM Guardium сгенерировал предупреждение. Accenture, управлявшая базой бронирований гостей Starwood, 8 сентября связалась с ИТ-командой Marriott. Marriott выяснил, что человек, чьи учётные данные были использованы, не выполнял этот запрос. Предупреждение касалось таблицы, за которой велось наблюдение, потому что она содержала данные карт; по словам ICO, другие таблицы без данных платёжных карт аналогичных предупреждений не имели.

Это было обнаружение аномального действия, а не немедленное знание обо всей утечке. Запрос вернул количество, а не содержимое строк. Позже эта дата стала предметом спора в анализе ICO вопроса о том, когда Marriott узнал об утечке персональных данных для целей уведомления по статье 33. После рассмотрения представлений Marriott ICO не вынесло окончательного вывода о нарушении статьи 33.

9–12 сентября: реагирование на инцидент и продолжение активности злоумышленника.Marriott задействовал свой план реагирования на инциденты безопасности и конфиденциальности примерно 9 или 10 сентября и 10 сентября привлёк внешних следователей. ICO сообщает, что в тот день ещё одна таблица с паспортными данными была экспортирована в файл дампа. 12 сентября Marriott начал разворачивать инструменты мониторинга в реальном времени и криминалистики примерно на 70 000 унаследованных устройств Starwood. Тот факт, что экспорт данных произошёл после первого предупреждения, существенен; он показывает, почему генерацию предупреждений, эскалацию у аналитиков, сдерживание и устранение угрозы нужно измерять отдельно.

15–18 сентября: учётные данные, вредоносное ПО и эскалация на уровень руководства.Следователи выявили несанкционированную активность с использованием учётных данных сотрудника Accenture начиная с июля. 17 сентября они нашли троян удалённого доступа и заблокировали адреса управления и контроля. Sorenson показал, что его проинформировали в тот же день, а совет директоров уведомили 18 сентября. ICO выбрало 17 сентября концом периода нарушения для расчёта штрафа, потому что именно тогда троян удалённого доступа был обнаружен и локализован, а не потому, что все вопросы расследования были закрыты.

Октябрь 2018 года: историческое вторжение становится видимым.Следователи нашли следы Mimikatz и вредоносного ПО для считывания памяти и проследили несанкционированное присутствие вплоть до июля 2014 года. Marriott связался с ФБР 29 октября. На этом этапе, согласно показаниям компании в Сенате, у следователей были доказательства длительного вторжения, но ещё не было доказательств доступа к данным гостей в базе бронирований.

13–19 ноября: удалённые файлы становятся доказательством экспорта данных гостей.13 ноября следователи обнаружили следы двух сжатых, зашифрованных и удалённых файлов. 19 ноября они их расшифровали и нашли экспорт таблиц профилей гостей и паспортных данных. Именно тогда, по словам Marriott, компания установила, что файлы содержат персональную информацию из базы бронирований гостей Starwood. Различие между сентябрьской аномалией и ноябрьским подтверждением объясняет задержку расследования, но само по себе не доказывает, что каждое решение об уведомлении было своевременным.

22–30 ноября: уведомление регулятора и публичное раскрытие.Marriott уведомил ICO 22 ноября. 25 и 26 ноября он нашёл следы дополнительных исторических копий таблиц, уведомил платёжные сети и ряд органов власти и 30 ноября публично объявил об инциденте. В первоначальном уведомлении говорилось, что база данных находится в США и содержит записи о бронированиях в объектах Starwood на 10 сентября 2018 года или ранее. (Уведомление Marriott об инциденте, ноябрь 2018 года)

18–31 декабря 2018 года: вывод из эксплуатации.Sorenson заявил, что Marriott прекратил использование базы бронирований гостей Starwood в операционной деятельности 18 декабря. В январском обновлении Marriott описывал вывод из эксплуатации как завершённый к концу года. Вывод завершил её роль в реальных бронированиях, но безопасное списание также требует обращения с копиями, учётными данными, ключами, криминалистическими образами, резервными копиями и судебными удержаниями. Публичный материал не содержит полного реестра уничтожения.

2019–2020 годы: изменение оценок масштаба и итоговый штраф Великобритании.Marriott пересмотрел свои цифры в январе и в годовом отчёте. В июле 2019 года ICO выпустило уведомление о намерении с предложением штрафа в £99 200 396. После письменных представлений Marriott, консультаций с другими европейскими органами, анализа смягчающих обстоятельств и корректировки с учётом COVID-19 итоговый штраф 30 октября 2020 года составил £18,4 млн. Marriott заявил, что не будет обжаловать решение, но не признал ответственность. (Ответ Marriott на итоговое решение ICO)

Апрель 2024 года: меняется пятилетней давности описание криптографии.Marriott добавил обновление к своим уведомлениям 2018 и 2019 годов: номера платёжных карт и некоторые номера паспортов, которые, как утверждалось, были защищены шифрованием AES-128, на самом деле были защищены с помощью SHA-1. Эта поправка не меняет факт несанкционированного доступа. Она меняет то, как читатели должны интерпретировать прежние заявления о шифровании и ключах.

Октябрь–декабрь 2024 года: параллельные соглашения в США вступают в силу.Коалиция из 50 генеральных прокуроров объявила о мировом соглашении на $52 млн, охватывающем 131,5 млн записей гостей, связанных с США, и долгосрочные меры защиты. FTC объявила о параллельном мировом соглашении в октябре и 20 декабря окончательно утвердила своё решение и предписание. Дело FTC касалось трёх утечек с 2014 по 2020 год, поэтому не каждое утверждение или мера в этом производстве относятся исключительно к инциденту с базой бронирований Starwood.

2025–2026 годы: частные судебные иски остаются отдельным треком.В июне 2025 года Четвёртый окружной апелляционный суд признал действительным отказ от коллективного иска и отменил сертификацию классов против Marriott; он не решил по существу иски об утечке после судебного разбирательства. (Решение Четвёртого округа) В форме 10-K, поданной 10 февраля 2026 года, Marriott сообщает, что некоторые истцы подали индивидуальные иски в Нью-Йорке, продолжались переговоры о медиации в рамках федерального многоокружного разбирательства, канадские дела были фактически объединены в Онтарио, а Marriott оспаривает предъявленные требования. (Форма 10-K Marriott за 2025 год)

Цифры — это записи, люди, регионы и процессуальные совокупности

Ни одна цифра об утечке не может безопасно служить всем целям сразу. Оценки Marriott менялись по мере того, как следователи удаляли дубликаты и классифицировали таблицы. Регуляторы и суды позже использовали разные совокупности, привязанные к их юрисдикции или производству.

Разница между записью и человеком — не редакционная мелочь. У гостя может быть несколько проживаний, адресов, спутников, записей в программе лояльности или продублированных профилей. Разные таблицы могут идентифицировать одного человека противоречивыми способами. Marriott сообщил Сенату, что не может с уверенностью решить, принадлежат ли совпадающие или похожие имена и адреса одному человеку или нескольким. Защитимая инвентаризация данных должна решить достаточную часть этой проблемы идентификации до инцидента, а не обнаружить во время уведомления, что не может сказать, сколько людей содержит.

Различались и наборы полей. В первом уведомлении Marriott говорилось, что примерно 327 млн записей содержали какую-то комбинацию имени, почтового адреса, номера телефона, адреса электронной почты, номера паспорта, данных Starwood Preferred Guest, даты рождения, пола, дат заезда и выезда, даты бронирования и предпочтений по коммуникации. В некоторые входили номер платёжной карты и срок её действия. Остальные были описаны как имя плюс, в некоторых случаях, другое поле, например адрес или электронная почта. «Какая-то комбинация» — предупреждение против того, чтобы считать каждое перечисленное поле присутствующим у каждого гостя.

Потабличный разбор ICO добавляет операционные детали. Одна таблица обмена бронированиями содержала идентификаторы гостя и программы лояльности, VIP-флаги, страну и номер паспорта, данные о заезде и выезде, контактные данные, номер рейса, код авиакомпании, статус регистрации и число гостей в номере. Другая таблица содержала тип номера, количество взрослых и детей и запрошенные детские кроватки или дополнительные кровати. Эти поля могут раскрывать семейный и поездочный контекст даже без финансовых данных.

Менялись и цифры по паспортам и платёжным картам. В обновлении от 4 января 2019 года Marriott указал около 5,25 млн незашифрованных номеров паспортов и 20,3 млн номеров паспортов, которые тогда описывались как зашифрованные. Он указал около 8,6 млн платёжных карт, тогда описанных как зашифрованные, из которых 354 000 не истекли к сентябрю 2018 года, и менее 2000 значений из 15 или 16 цифр в других полях, которые могли быть незашифрованными номерами карт. (Обновление Marriott, январь 2019 года)

К форме 10-K за 2018 год и показаниям марта 2019 года компания оперировала примерно 18,5 млн защищённых номеров паспортов, 9,1 млн защищённых платёжных карт и 385 000 карт, не истёкших на сентябрь 2018 года. Она сообщила, что данные могли включать несколько тысяч незашифрованных номеров платёжных карт. В годовом отчёте также зафиксированы расходы на инцидент в 2018 году в размере $28 млн, частично компенсированные начисленным возмещением по страхованию в $25 млн; эти бухгалтерские позиции измеряют затраты на реагирование, а не вред гостям. (Форма 10-K Marriott за 2018 год)

Поэтому корректная подача — это набор ограниченных оценок, а не соревнование по выбору самой большой или самой свежей цифры. Важно также сохранять неопределённость в обе стороны. Дубликаты записей делают число уникальных людей ниже, чем итоги записей. Неизвестные или не найденные файлы, неполная историческая телеметрия и свободные текстовые поля могут затруднить точную реконструкцию на уровне полей.

Что установило ICO и чего оно сознательно не установило

Уведомление ICO о штрафе — самый весомый публичный документ о нарушениях безопасности в среде бронирований Starwood. При этом оно уже, чем следует из многих пересказов.

Во-первых, ICO установило, что Marriott как контролёр данных нарушил статью 5(1)(f) и статью 32 GDPR, не обеспечив обработку персональных данных с надлежащим уровнем безопасности. Решение охватывало период с 25 мая по 17 сентября 2018 года.Официальный текст GDPRделает безопасность риск-ориентированной: надлежащие меры зависят от уровня развития технологий, стоимости внедрения, контекста обработки и риска для прав и свобод людей. Это обязательство — не гарантия того, что ни один злоумышленник не добьётся успеха. Это обязанность внедрять и проверять меры, соответствующие реальным данным и системе.

Во-вторых, в итоговом уведомлении названы четыре основных недостатка.

Недостаточный мониторинг привилегированных учётных записей.Злоумышленник использовал легитимные учётные данные для несанкционированной деятельности. ICO установило, что Marriott не вёл надлежащего непрерывного мониторинга действий пользователей, особенно привилегированных учётных записей, внутри среды с данными держателей карт. У Marriott были центр операционной безопасности, ежегодные тесты на проникновение и отчёты о соответствии стандартам платёжных карт. Регулятор заключил, что эти меры не оценивали соответствующие конфигурации журналирования и не заменяли необходимость выявлять аномальное использование после аутентификации.

Недостаточный мониторинг баз данных.Guardium вёл журналы и предупреждал о выбранной активности, но ICO установило неполноту предупреждений по базам данных, недостаточную агрегацию журналов и отсутствие журналирования таких действий, как создание файлов и экспорт целых таблиц. Предупреждение, которое в итоге оказалось важным, было настроено на таблицу с данными карт. Другие таблицы с персональными данными не имели аналогичных предупреждений. Чувствительность платёжных карт может оправдывать более жёсткие меры, но, по мнению регулятора, она не оправдывает отсутствие предупреждений по другим персональным данным.

Неадекватный контроль критических систем.ICO установило, что надлежащая жёсткая настройка серверов — например, контроль исполнения или эквивалентное внесение в белые списки на критических системах — могла бы ограничить разведку, повышение привилегий и выполнение вредоносного ПО. Решение не предписывало белые списки повсюду. Оно сосредоточилось на критических устройствах и системах, способных получить доступ к большим или чувствительным хранилищам персональных данных.

Отсутствие шифрования всех номеров паспортов.Примерно 5,25 млн номеров паспортов были незашифрованы. ICO не нашло документированной оценки рисков, объясняющей, почему одни номера паспортов получили криптографическую защиту, а другие нет. Более широкая мысль регулятора не в том, что каждое поле всегда должно быть зашифровано. А в том, что выборочная защита нуждается в обосновании, опирающемся на доказательства, и в осмысленной реализации.

Поправка 2024 года о SHA-1 усложняет технический язык последнего вывода. Уведомление о штрафе обсуждало AES-128 на основе тех материалов, которые были у регулятора на тот момент. Позже Marriott заявил, что номера платёжных карт и некоторые номера паспортов в таблицах вместо этого были защищены с помощью SHA-1. Это более позднее заявление должно заменить прежнее описание алгоритма для этих подмножеств; оно не стирает вывод ICO о том, что миллионы номеров паспортов остались незашифрованными, и его заключение о том, что Marriott не представил последовательной оценки рисков.

Исключения не менее важны.

ICOненаказало Marriott за неполное покрытие многофакторной аутентификацией. Marriott опирался на заверения руководства и отчёты о соответствии стандартам платёжных карт за 2016 и 2017 годы, в которых утверждалось, что MFA защищает доступ в сегментированную среду с данными держателей карт. На деле внедрение было неполным, но после рассмотрения представлений Marriott ICO приняло эту опору для конкретной цели рассматриваемого вопроса и исключило MFA из итоговых составов нарушений. Аккуратный разбор может по-прежнему обсуждать операционный пробел; он не может называть этот пробел одним из четырёх итоговых нарушений, установленных ICO.

ICOневынесло окончательного вывода о нарушении статьи 33 об уведомлении об утечках. Оно отклонило часть правовых аргументов Marriott об осведомлённости, но приняло во внимание ограниченное сентябрьское предупреждение, отсутствие у Marriott знания об экспорте таблиц до 13 ноября и расшифровку 19 ноября, после чего сняло предложенный вывод. Такженебыло окончательного вывода по статье 34 о сообщении пострадавшим. Регулятор раскритиковал электронное письмо, которое упоминало контакт-центр без номера телефона, но признал, что письмо содержало ссылку на специальный сайт, где номер был доступен.

ICOнерешило, что проверка Marriott перед закрытием сделки была юридически недостаточной. Оно признало, что углублённая проверка конкурента может быть ограничена, и исключило поведение до вступления GDPR в силу из решения. При этом оно заключило, что due diligence — не разовое событие и что Marriott не мог продолжать обработку по GDPR на несовершенных унаследованных системах лишь потому, что слабости существовали до принятия закона или до сделки.

Наконец, цифру £18,4 млн не следует путать с предложением 2019 года. В итоговом уведомлении были учтены представления Marriott, быстрое реагирование после предупреждения, сотрудничество, отсутствие видимых ICO доказательств финансового вреда, другие смягчающие обстоятельства и влияние COVID-19. Marriott не подавал апелляцию. Его заявление о непризнании ответственности сосуществует с итоговым решением регулятора, которое прямо установило нарушения. «Непризнание ответственности» описывает процессуальную позицию Marriott; оно не превращает выводы ICO в обвинения.

Поправка 2024 года превращает управление ключами в задачу инвентаризации

В первоначальном уведомлении Marriott говорилось, что значения платёжных карт зашифрованы алгоритмом AES-128 и для расшифровки требуются два компонента; на тот момент компания не могла исключить, что были похищены оба. В обновлении за январь 2019 года сказано, что нет доказательств доступа злоумышленника к мастер-ключу, необходимому для защищённых номеров паспортов, или к любому из компонентов, необходимых для защищённых номеров карт. В показаниях марта 2019 года Sorenson заявил, что Marriott не нашёл доказательств доступа к мастер-ключу, но не может этого исключить.

Эти заявления описывали риск как шифротекст плюс возможную компрометацию ключа. Обновление Marriott за апрель 2024 года изменило рамку: номера платёжных карт и некоторые номера паспортов в затронутых таблицах были защищены с помощью SHA-1, а не AES-128. SHA-1 — это хеш-функция, а не схема шифрования. NIST описывает хеш как отображение данных в дайджест фиксированного размера и постепенно отходит от SHA-1 для криптографической защиты. (Обзор хеш-функций NIST,уведомление NIST о переходе от SHA-1)

Это различие важно. Шифрование устроено так, чтобы его можно было обратить с помощью авторизованного секрета или процесса. Хеширование обычно используют для получения дайджеста, и его не «расшифровывают» мастер-ключом, описанным в прежних уведомлениях. Но публичная поправка не раскрывает, были ли значения снабжены солью, ключом, усечены, токенизированы в другом слое, сопоставлены со справочными таблицами или преобразованы иным образом. Она также не называет точные подмножества паспортов и карт, к которым применялся SHA-1, и не сообщает, удалось ли кому-то восстановить исходные идентификаторы из этих значений.

Выдумывать эти детали было бы безответственно.

Вывод об ответственности уже, но всё равно значим: через пять лет после раскрытия публичное описание ключевого механизма защиты сменило категорию. Это говорит о провале криптографической инвентаризации, о провале переноса знаний из доказательств в документы или об обоих сразу. Организация должна знать для каждого поля и каждой копии, являются ли данные открытым текстом, зашифрованы, токенизированы или хешированы; какой алгоритм и режим применяются; где находятся ключи или секреты; кто может их использовать; в каком состоянии миграция; и как эти факты проверялись.

Это особенно важно при поглощении. Документ с политикой, где сказано «чувствительные поля зашифрованы», — не инвентаризация по полям. Отчёт о соответствии стандартам платёжных карт — не доказательство того, что каждое паспортное поле в каждой унаследованной таблице получает одинаковую защиту. Название алгоритма в уведомлении об инциденте ненадёжно, пока следователи не проследят код приложения, конфигурацию схемы, сервисы ключей, хранимые значения и исторические версии.

Хорошее управление ключами также не компенсирует неконтролируемое использование авторизованным приложением. Если злоумышленник контролирует привилегированную учётную запись или процесс базы данных, который может запрашивать открытый текст, шифрование в состоянии покоя мало что даёт во время живых запросов или экспорта. ICO указало на это косвенно: MFA на внешней границе не снимала потребность в журналировании внутри, а шифрование зависело от осмысленной архитектуры и управления ключами. Меры контроля должны быть выстроены слоями вокруг использования, а не просто прикреплены к хранилищу.

Данные оставались в США, а люди и закон — в других местах

В первом уведомлении Marriott говорилось, что база бронирований гостей Starwood находится в США. Записи были глобальными. ICO насчитало 30,1 млн записей, связанных с государствами Европейской экономической зоны, и 7 млн, связанных с Великобританией. Штаты позже использовали 131,5 млн записей, связанных с США. Физическое расположение базы данных, таким образом, отвечало на один вопрос: где работала конкретная система. Оно не отвечало на то, кто эти люди, какие предприятия обрабатывали их данные, какие органы обладают юрисдикцией и какой отель, франчайзи, поставщик услуг или корпоративная команда имели к ней доступ.

Суверенитет и локализацию данных следует разделять как минимум на четыре слоя.

Локализация хранения— это где находятся основные базы данных, реплики, резервные копии, файлы экспорта, журналы и криминалистические копии. Публичный материал определяет базу бронирований как находящуюся в США, но не даёт полной карты каждой копии или резервной копии.

Локализация доступа— это где пользователи, сервисы и администраторы могут реализовывать полномочия над данными. Accenture управляла базой; операции Starwood и Marriott охватывали многие страны; процессы отелей и контакт-центров питали систему бронирования. База данных может оставаться на оборудовании в США, пока привилегированный доступ и операционные решения пересекают границы.

Юридическая локализацияследует за людьми, предприятиями, обработкой и применимым правом, а не только за стойками. ICO действовало как ведущий надзорный орган для трансграничной обработки в рамках механизма сотрудничества GDPR. Штаты США применили собственные законы о защите прав потребителей и персональной информации. Поэтому центральная база данных может обрастать распределённым юридическим периметром.

Деловая локализация— это где запись имеет смысл. Даты заезда, спутники, VIP-статус, авиакомпания и расположение отеля привязаны к перемещениям и отношениям путешественника. Централизация этих данных может поддерживать глобальное обслуживание, но она также создаёт концентрированное описание активности через юрисдикции.

В текущем глобальном заявлении Marriott о конфиденциальности сказано, что международная передача данных необходима для глобального обслуживания, данные могут перемещаться в страны с иными стандартами защиты и что там, где это уместно, используются одобренные механизмы передачи. В нём также указаны критерии хранения, основанные на целях и законе. (Глобальное заявление Marriott Group о конфиденциальности) Это полезное свидетельство нынешней модели управления, а не доказательство архитектуры Starwood 2014–2018 годов или исторического соответствия требованиям.

Урок не в том, что глобальные данные о бронированиях всегда должны оставаться в стране путешественника. Доказательства поддерживают более практичное правило: глобальному контролёру нужна карта на уровне записей, связывающая цель, человека, источник, хранение, доступ, механизм передачи, сроки хранения, меры безопасности и ответственное юридическое лицо. Без такой карты фраза «база данных находится в США» становится фактом о местоположении, который подаётся так, будто это ответ об управлении.

Раскрытые записи удешевили убедительный контакт

Платёжные карты и паспорта сразу привлекают внимание, потому что это знакомые инструменты идентификации и финансов. Таблицы Starwood содержали и более тихий источник вреда: ингредиенты для правдоподобного контакта.

Обычное фишинговое сообщение платит налог на правдоподобие. Отправитель должен убедить получателя, что сообщение касается реальных отношений, события или транзакции. Набор данных о бронированиях может снизить эту стоимость. Сообщение может назвать бренд отеля, примерные сроки проживания, отношения в программе лояльности, окно заезда, направление, контекст спутников, предпочтения по коммуникации или рейс. Контактные данные дают маршрут; детали поездки дают предлог; поля статуса и предпочтений помогают выбрать тон.

Это экономика контакта с целью злоупотреблений. Записи не обязаны позволять злоумышленнику напрямую открыть банковский счёт, чтобы быть полезными. Они могут удешевить персонализацию следующего запроса и затруднить его отклонение получателем. CISA определяет целевой фишинг (spearphishing) как нацеливание на человека с использованием ключевой информации о нём. (Руководство CISA по фишингу) Потребительское предупреждение FTC об утечке Marriott предупреждало, что мошенники могут использовать само объявление об утечке, выдавая себя за Marriott и направляя получателей на поддельные сайты. (Советы FTC об утечке Marriott)

База данных объединяла несколько путей злоупотреблений:

• Имя, электронная почта и номер телефона снижают стоимость поиска и позволяют переключать канал с почты на SMS или голосовые звонки.
• Детали бронирования и проживания дают правдоподобную историю о проблеме с сервисом, возврате средств, счёте, поправке в программе лояльности или предупреждении о безопасности.
• Данные о заезде, выезде, авиакомпании и местоположении могут сделать ощущение срочности своевременным.
• Идентификаторы лояльности создают второй класс активов: баллы, доступ к аккаунту и долгоживущие отношения с клиентом.
• Номера паспортов и даты рождения могут усилить попытки выдачи себя за другого или дать фрагменты для верификации, хотя номер паспорта сам по себе — не физический паспорт.
• VIP-статус, контекст работодателя или предпочтений могут помочь расставить приоритеты целей или адаптировать контакт в стиле «для первых лиц».
• Число спутников и детей может раскрыть контекст отношений, который пострадавший не ожидал увидеть использованным за пределами гостиничных операций.

Это правдоподобные механизмы злоупотреблений, подтверждаемые полями и общими руководствами по борьбе с мошенничеством. Это не доказательство того, что конкретная кампания использовала записи Starwood. В марте 2019 года Sorenson показал, что Marriott не получал подтверждённых требований о мошеннических потерях, относимых к инциденту, и не находил в ходе мониторинга предложений о продаже затронутых таблиц. ICO позже сообщило, что не видело доказательств финансового вреда.

Жалоба FTC, напротив, утверждала, что детальные записи причинили или с высокой вероятностью причинят существенный вред, включая фишинг, неправомерное использование идентичности и бремя отслеживания и замены учётных данных.

Разница отчасти в юридической позиции, отчасти во времени: отсутствие наблюдаемых злоупотреблений не доказывает отсутствие воздействия, но вероятный вред не доказывает совершившееся мошенничество.

Экономика контакта влияет и на уведомление. Marriott нужно было разослать письма пострадавшим гостям, но само существование широко разрекламированной кампании уведомлений создало предлог для самозванцев. Настоящие уведомления компании должны были быть отличимыми, многоязычными и доступными через независимо проверяемые каналы. Обсуждение ICO пропущенного номера контакт-центра показывает, что качество уведомления — это мера безопасности, а не аксессуар для связей с общественностью.

Долгосрочное средство — минимизация данных. Если поле больше не нужно для обслуживания, закона, борьбы с мошенничеством или определённой операционной цели, его хранение сохраняет субсидию злоумышленникам. Итоговое предписание FTC требует политику хранения, привязанную к цели сбора и конкретной деловой потребности, путь удаления для потребителей из США и ограничения на использование удалённой информации в маркетинге. Предписание превращает уменьшение поверхности злоупотреблений в обязанность управления.

Три документа о принудительных мерах — три разных вида ответственности

Штраф ICO, соглашение штатов и предписание FTC не следует смешивать в один неразличимый штраф.

Штраф ICO— это итоговое административное решение, установившее нарушения GDPR за определённый период 2018 года. Он составил £18,4 млн. Marriott не подавал апелляцию, но заявил, что не признаёт ответственность. Выводы, расчёт штрафа и исключения содержатся в уведомлении на 91 страницу.

Многостороннее соглашение штатовурегулировало претензии штатов и предусмотрело выплату $52 млн. В объявлении Коннектикута сказано, что коалиция утверждала нарушения законов о защите прав потребителей, персональной информации и, где применимо, законов об уведомлении об утечках. Оно требует комплексную программу информационной безопасности, принципы нулевого доверия, инвентаризацию активов, усиление защиты, шифрование, сегментацию, управление исправлениями, мониторинг, надзор за поставщиками и франчайзи, удаление данных потребителей и защиту программ лояльности, оценку приобретённых компаний и независимые проверки раз в два года в течение 20 лет.

(Объявление генерального прокурора Коннектикута о соглашении) Вступившие в силу судебные решения фиксируют, что Marriott не признаёт нарушения или ответственности; выплата по соглашению — не вердикт суда для каждого пострадавшего. (Итоговое решение Вермонта)

Дело FTC— это административное производство, завершившееся соглашением. Жалоба утверждает вводящие в заблуждение заявления о безопасности и недобросовестные практики безопасности в связи с более ранней утечкой Starwood в POS-системах, утечкой базы бронирований Starwood и более поздним инцидентом с учётными данными Marriott, раскрытым в 2020 году. Утверждения жалобы следует обозначать как утверждения. Итоговое решение и предписание обязательны независимо от того, проверялось ли каждое утверждение в суде.

Итоговое предписание FTCтребует письменную программу безопасности, ежегодные и послеинцидентные оценки рисков, отчётность совету директоров, активный просмотр журналов в течение 24 часов, меры против неправомерного использования валидных учётных данных, принцип минимальных привилегий, многофакторную аутентификацию, жёсткую настройку конфигурации, инвентаризацию активов и персональных данных, решения о шифровании или эквивалентной защите, управление исправлениями, сегментацию и тесты на проникновение, контроль поставщиков, надзор за франчайзи, отчётность по инцидентам, сертификацию генерального директора и независимые оценки каждые два года в течение 20 лет.

Одно положение делает урок о поглощениях явным. После закрытия сделки по приобретению компании, обрабатывающей персональные данные, Marriott должен оценить, соответствует ли программа приобретённой компании предписанию, составить план и сроки для устранения пробелов и устранить недостатки приобретённых ИТ-активов до того, как использовать их как производственные активы Marriott. Это не требует всеведения до закрытия сделки. Это требует контролируемого допуска в производство после закрытия.

Предписание также даёт потребителям из США путь запроса на удаление, привязанный к адресу электронной почты или номеру аккаунта лояльности, и требует от Marriott проверять подозрительную несанкционированную активность в программе лояльности и восстанавливать баллы, когда установлено, что снижение вызвано несанкционированными действиями третьих лиц, на условиях предписания.Потребительское объяснение FTCделает эти меры более наглядными, чем юридический документ.

Принудительные меры не доказывают эффективность текущего контроля. Предписание определяет обязанности; оценщик проверяет внедрение; сертификация распределяет ответственность. У публичных читателей по-прежнему нет отчётов независимых оценок, детальных реестров исключений или криптографической инвентаризации на уровне полей. В годовом отчёте Marriott за 2025 год говорится, что урегулирования создают долгосрочные требования и что несоблюдение может привести к дальнейшим принудительным мерам. В нём также описан комитет совета директоров по надзору за технологиями и информационной безопасностью и продолжающиеся процессы киберриска.

Это структуры управления и заявления компании, а не публичное аудиторское заключение о гарантиях.

Частные судебные иски добавляют ещё один путь ответственности, но не дают чистого вердикта о вине. Решение Четвёртого округа 2025 года касалось исковой силы отказа от коллективного иска в условиях программы лояльности. Отмена сертификации меняет то, как требования могут объединяться; она не решает, была ли разумной безопасность, понёс ли конкретный человек убытки и несостоятельно ли каждое индивидуальное требование. В последнем годовом отчёте Marriott говорится, что компания оспаривает утверждения и что разбирательства продолжались по состоянию на конец 2025 года.

Контрольная карта после поглощения

Полезный вопрос для совета директоров — не «проводилась ли проверка?», а «какие унаследованные утверждения независимо превращены в операционные доказательства?»

Эта карта не исходит из того, что каждый контроль отсутствовал повсюду. Она превращает задокументированные сценарии отказов в вопросы о доказательствах. Это более требовательный стандарт, чем чек-лист политик, потому что он спрашивает, ведут ли себя унаследованные системы так, как считает руководство.

Ответственность принадлежит месту, где меняется практический контроль

Неизвестный злоумышленник или злоумышленники ответственны за несанкционированное проникновение, закрепление в системе и экспорт данных. Эту ответственность не следует перекладывать на организацию-жертву лишь потому, что регуляторы проверяют меры защиты. Корпоративная ответственность отвечает на другой вопрос: кто контролировал условия, которые делали доступ труднее предотвратить, обнаружить или сдержать, и кто контролировал реагирование?

Starwood контролировал среду в момент первоначальной компрометации. Marriott — нет. Starwood также принёс в сделку более раннюю историю инцидента с POS-системами. Эти факты важны при реконструкции причинно-следственных связей.

Marriott контролировал приобретённую компанию после сентября 2016 года. Он выбрал продолжение работы платформы бронирования Starwood на период миграции, даже по понятным причинам непрерывности. Он контролировал темп и условия усиления безопасности, интеграции и вывода из эксплуатации. Юридические выводы ICO начинаются позже — 25 мая 2018 года, но операционный контроль начался в момент закрытия сделки.

Accenture управляла базой бронирований и передала предупреждение Guardium наверх. В публичных материалах также указаны скомпрометированные учётные данные Accenture. Эти факты устанавливают важную роль поставщика услуг, но не полное распределение договорной или юридической вины. Частные иски включали требования к Accenture, но эта статья не рассматривает неразрешённые утверждения как решения суда.

Советы директоров и высшее руководство контролировали принятие риска и требования к доказательствам. Sorenson сказал, что узнал о RAT 17 сентября, а совет директоров проинформировали на следующий день. Более позднее предписание FTC требует ежегодной информированности совета и отчётов об инцидентах, а сертификация генерального директора создаёт прямой канал ответственности. Управление — это не совет, управляющий SIEM; это совет, требующий доказательств, что унаследованные риски с высокими последствиями имеют владельцев, сроки и подтверждённое закрытие.

Регуляторы контролировали разные меры. ICO применило трансграничную систему защиты данных и вынесло мотивированный штраф. Генеральные прокуроры штатов добились денег, прав потребителей и детальных мер защиты. FTC наложила долгоживущий режим программы и оценок, но заявила, что в этом деле не имела полномочий взыскать гражданский штраф. Разные юридические полномочия дают разные результаты ответственности.

Гости почти не контролировали условия до утечки. Они не могли проверить покрытие журналирования, узнать, что паспортные поля защищены непоследовательно, увидеть, что злоумышленник использовал привилегированные учётные данные, или решить, останется ли унаследованная система в работе. Постинцидентный мониторинг, замена карт и осторожность к фишингу перекладывают работу на них. Права на удаление и проверку программы лояльности помогают, но они появляются после того, как организация выбрала архитектуру данных.

Что можно заключить и что остаётся за пределами публичного материала

Публичные доказательства поддерживают твёрдый вывод о том, что среда бронирований Starwood оставалась скомпрометированной на протяжении сделки и что Marriott не обнаруживал злоумышленника почти два года после её закрытия. Они поддерживают четыре вывода ICO о нарушениях GDPR за определённый период 2018 года. Они поддерживают факт больших смешанных глобальных совокупностей записей, соглашения 2024 года в США и возникшие в результате обязательные меры защиты.

Они не идентифицируют злоумышленника через публичный уголовный приговор. В новостях появлялись теории о государственных акторах, но рассмотренные официальные документы описывают неизвестного злоумышленника или вредоносных акторов. Атрибуцию не следует объявлять при отсутствии публичного обвинительного документа или эквивалентных авторитетных доказательств.

Они не показывают, какая именно первоначальная уязвимость была использована, каждый затронутый хост, каждый удалённый файл или каждого человека, чьи данные были затронуты. Они не раскрывают полный криминалистический отчёт Verizon, криминалистический отчёт о платёжных картах, независимые оценки соответствия или полный набор исторических журналов.

Они не устанавливают, что каждый пострадавший гость столкнулся с мошенничеством, что ни один гость не пострадал или что каждая комбинация данных имела равную ценность. Наблюдение Marriott 2019 года об отсутствии подтверждённого относимого мошенничества и отсутствие у ICO наблюдаемого финансового вреда — это доказательства. Как и признанные FTC неотъемлемые риски выдачи себя за другого и целевых контактов. Честный вывод сохраняет и то и другое.

Они не сообщают публике достаточно о реализации SHA-1, чтобы оценить возможность восстановления конкретных значений карт или паспортов. Поправка устанавливает неверную классификацию метода защиты, а не недостающие детали конфигурации.

Они не доказывают, что нынешняя программа Marriott неэффективна. Равно как политики, комитеты, расходы, урегулирования с регуляторами или выведенная из эксплуатации база данных не доказывают, что все последующие меры эффективны. Этот вопрос относится к операционному тестированию и независимой оценке.

Урок сделки: владение неопределённостью

Сильнейший урок Marriott и Starwood не в том, что компаниям следует отказываться от поглощений с участием унаследованных технологий. Почти каждая крупная сделка несёт неизвестные системы, неровные записи и унаследованные исключения. Урок и не в том, что ради непрерывности следует немедленно выводить каждую приобретённую платформу. Перевод 1270 отелей с сохранением бронирований был реальным операционным ограничением.

Урок в том, что сама неопределённость становится взятым на себя риском в момент закрытия сделки. Покупатель может признавать ограниченный доступ до закрытия, не принимая бесконечную неоднозначность после. Он может изолировать унаследованную сеть, не принимая изоляцию за безопасность. Он может временно поддерживать унаследованную базу, не давая ей временных стандартов. Он может полагаться на отчёты о соответствии, проверяя при этом те меры, которые эти отчёты не охватывают. Он может описывать криптографию только после прослеживания реальной реализации на уровне полей.

База Starwood содержала бизнес-модель в миниатюре: идентичность, контакты, лояльность, платежи и перемещения, собранные, чтобы гостиничный бизнес работал через границы. Та же сборка сделала злоупотребления более дешёвыми, а юридическую ответственность более распределённой. Её физическое расположение в США не локализовало людей, вред или обязанности. Её унаследованный статус не приостанавливал обязательства контролёра.

Предписание FTC 2024 года теперь записывает принцип поглощений на обязательном языке: оценить приобретённую компанию после закрытия сделки, спланировать устранение выявленных пробелов и устранить недостатки до того, как приобретённые активы войдут в производство Marriott. Это правило уже, чем всеведение, и сильнее, чем театр проверок. Оно требует от владельца превратить заявления в доказательства до того, как доверие расширится.

Marriott купил бренды, отели, отношения лояльности и системы Starwood. Он также купил бремя выяснения того, что эти системы на самом деле делали. Материалы об утечке показывают, насколько дорогой может стать дистанция между архитектурной верой и операционной правдой. Ответственность начинается с сокращения этой дистанции до того, как её придётся сокращать следующему предупреждению.