Pelanggaran data Marriott: Paspor tidak dienkripsi

Marriott hari ini mengatakan bahwa tim forensik dan analis data telah mengidentifikasi "sekitar 383 juta catatan sebagai batas atas" untuk jumlah total catatan reservasi tamu yang hilang. Perusahaan masih mengatakan tidak tahu siapa yang melakukan serangan itu, dan diperkirakan angka tersebut akan menurun seiring waktu karena lebih banyak catatan duplikat yang diidentifikasi.

Apa yang membuat serangan Starwood berbeda adalah adanya nomor paspor, yang dapat mempermudah dinas intelijen untuk melacak orang-orang yang melintasi perbatasan. Itu sangat penting dalam kasus ini: Pada bulan Desember, The New York Times melaporkan bahwa serangan itu adalah bagian dari upaya pengumpulan intelijen China yang, sejak tahun 2014, juga meretas perusahaan asuransi kesehatan AS dan Kantor Manajemen Personalia, yang menjaga keamanan. file izin pada jutaan orang Amerika.

Sejauh ini, tidak ada kasus yang diketahui di mana informasi paspor atau kartu kredit yang dicuri ditemukan dalam transaksi penipuan. Tetapi bagi penyelidik serangan siber, itu hanyalah tanda lain bahwa peretasan dilakukan oleh badan intelijen, bukan penjahat. Badan-badan tersebut ingin menggunakan data untuk tujuan mereka sendiri - membangun database dan melacak target pengawasan pemerintah atau industri - daripada mengeksploitasi data untuk keuntungan ekonomi.

Secara keseluruhan, serangan itu tampaknya merupakan bagian dari upaya yang lebih luas oleh Kementerian Keamanan Negara China untuk mengumpulkan basis data besar orang Amerika dan orang lain dengan posisi pemerintah atau industri yang sensitif - termasuk di mana mereka bekerja, nama kolega, kontak asing, dan teman mereka. , dan kemana mereka bepergian.

"Big data adalah gelombang baru untuk kontraintelijen," kata James A. Lewis, pakar keamanan siber yang menjalankan program kebijakan teknologi di Pusat Kajian Strategis dan Internasional di Washington, bulan lalu.

Marriott International mengatakan lebih sedikit catatan pelanggan yang dicuri daripada yang awalnya dikhawatirkan, tetapi menambahkan bahwa lebih dari 25 juta nomor paspor dicuri dalam serangan dunia maya bulan lalu. Perusahaan itu mengatakan hari ini bahwa peretasan informasi pribadi terbesar dalam sejarah tidak sebesar yang pertama kali dikhawatirkan, tetapi untuk pertama kalinya mengakui bahwa unit hotel Starwood-nya tidak mengenkripsi nomor paspor untuk sekitar 5 juta tamu. Nomor paspor itu hilang dalam serangan yang diyakini banyak ahli luar dilakukan oleh badan intelijen Tiongkok.

Ketika serangan itu pertama kali diungkapkan oleh Marriott pada akhir November, dikatakan informasi lebih dari 500 juta tamu mungkin telah dicuri, semuanya dari database reservasi Starwood, jaringan hotel besar yang telah diperoleh Marriot. Tetapi pada saat itu, perusahaan mengatakan bahwa angka tersebut adalah skenario terburuk karena termasuk jutaan catatan duplikat.

Angka yang direvisi masih merupakan kerugian terbesar dalam sejarah, lebih besar dari serangan terhadap Equifax, badan pelaporan kredit konsumen, yang kehilangan SIM dan nomor Jaminan Sosial sekitar 145.5 juta orang Amerika pada tahun 2017, yang menyebabkan penggulingan kepala eksekutifnya. dan hilangnya kepercayaan yang besar pada perusahaan.

Seorang pejabat tinggi Kementerian Keamanan Negara China ditangkap di Belgia akhir tahun lalu dan diekstradisi ke Amerika Serikat dengan tuduhan memainkan peran sentral dalam peretasan perusahaan terkait pertahanan AS, dan lainnya diidentifikasi dalam dakwaan Departemen Kehakiman di Desember. Tetapi kasus-kasus itu tidak terkait dengan serangan Marriott, yang masih diselidiki FBI.

China membantah mengetahui tentang serangan Marriott. Pada bulan Desember, Geng Shuang, juru bicara Kementerian Luar Negeri, berkata, "China dengan tegas menentang semua bentuk serangan dunia maya dan menindaknya sesuai dengan hukum."

"Jika ditawari bukti, departemen China yang relevan akan melakukan penyelidikan sesuai dengan hukum," tambah juru bicara itu.

Investigasi Marriott telah mengungkapkan kerentanan baru dalam sistem hotel: Apa yang terjadi pada data paspor ketika pelanggan membuat reservasi atau check-in ke hotel, biasanya di luar negeri, dan menyerahkan paspor kepada petugas meja. Marriott mengatakan untuk pertama kalinya bahwa 5.25 juta nomor paspor disimpan di sistem Starwood dalam file data biasa dan tidak terenkripsi - artinya mudah dibaca oleh siapa pun di dalam sistem reservasi. Tambahan 20.3 juta nomor paspor disimpan dalam file terenkripsi, yang akan membutuhkan kunci enkripsi master untuk membacanya. Tidak jelas berapa banyak dari mereka yang terlibat paspor AS dan berapa banyak yang berasal dari negara lain.

"Tidak ada bukti bahwa pihak ketiga yang tidak sah mengakses kunci enkripsi utama yang diperlukan untuk mendekripsi nomor paspor yang dienkripsi," kata Marriott dalam sebuah pernyataan.

Tidak segera jelas mengapa beberapa nomor dienkripsi dan yang lainnya tidak - selain hotel di setiap negara, dan terkadang setiap properti, memiliki protokol berbeda untuk menangani informasi paspor. Pakar intelijen mencatat bahwa badan intelijen AS sering mencari nomor paspor orang asing yang mereka lacak di luar Amerika Serikat - yang mungkin menjelaskan mengapa pemerintah AS tidak bersikeras pada enkripsi data paspor yang lebih kuat di seluruh dunia.

Ditanya bagaimana Marriott menangani informasi sekarang setelah menggabungkan data Starwood ke dalam sistem reservasi Marriott - merger yang baru saja selesai pada akhir 2018 - Connie Kim, juru bicara perusahaan, berkata: “Kami sedang mempelajari kemampuan kami untuk pindah ke enkripsi universal nomor paspor dan akan bekerja sama dengan vendor sistem kami untuk lebih memahami kapabilitas mereka, serta meninjau peraturan nasional dan lokal yang berlaku. ”

Departemen Luar Negeri mengeluarkan pernyataan bulan lalu yang memberi tahu pemegang paspor untuk tidak panik karena nomor itu saja tidak akan memungkinkan seseorang membuat paspor palsu. Marriott mengatakan akan membayar paspor baru bagi siapa pun yang informasi paspornya, yang diretas dari sistem mereka, ditemukan terlibat dalam penipuan. Tapi itu adalah tipu muslihat perusahaan, karena tidak ada perlindungan bagi tamu yang menginginkan paspor baru hanya karena data mereka telah diambil oleh mata-mata asing.

Sejauh ini, perusahaan telah merunduk menangani masalah itu dengan mengatakan tidak memiliki bukti tentang siapa penyerangnya, dan Amerika Serikat belum secara resmi menuduh China dalam kasus tersebut. Tetapi kelompok intelijen dunia maya swasta yang telah melihat pelanggaran tersebut telah melihat kesamaan yang kuat dengan yang lain, serangan terkait China yang sedang berlangsung pada saat itu. Presiden dan kepala eksekutif perusahaan, Arne Sorenson, belum menjawab pertanyaan tentang peretasan di depan umum, dan Marriott mengatakan dia sedang bepergian dan menolak permintaan dari The Times untuk membicarakan peretasan.

Perusahaan juga mengatakan sekitar 8.6 juta kartu kredit dan debit "terlibat" dalam insiden tersebut, tetapi semuanya dienkripsi - dan semuanya kecuali 354,000 kartu telah kedaluwarsa pada September 2018, ketika peretasan, yang berlangsung selama bertahun-tahun, ditemukan.