Cybersécurité : Jusqu’à 500 millions de clients des hôtels Marriott impactés

Après l’attaque du groupe Pathé et 19 millions d€ extorqués, c’est maintenant les hôtels Marriott qui sont victime d’une cyber attaque de grande ampleur.

Le Groupe Marriott a annoncé ce week-end que son réseau informatique avait fait l’objet d’une cyberattaque qui a touché près de 500 millions de clients. Il semblerait que les pirates informatiques se soient attaqués aux bases de données de réservations des clients de sa division Starwood, qui comprend les enseignes Sheraton, W Hotels, Westin, Le Meridien… Le piratage touche les personnes qui avaient des réservations dans ces hôtels jusqu’au 10 septembre de cette année.

Une enquête interne a révélé qu’une intrusion s’était produite sur le réseau informatique pour la première fois en 2014 et qu’une « partie non autorisée avait copié et crypté des renseignements ». Les noms, adresses, numéros de téléphone, courriels, numéros de passeport et détails de voyage d’environ 327 millions de clients ont été compromis, ainsi que d’autres informations comme les numéros de cartes de paiement et les dates d’expiration. Même si ces données sont normalement chiffrées, la société a déclaré que les données de la clé de cryptage ont pu aussi être volées. Un outil de sécurité interne a alerté Marriott d’une infraction potentielle le 8 septembre, mais l’entreprise n’a déterminé le contenu des données volées que le 19 novembre.

« Deux éléments sont nécessaires pour déchiffrer les données de carte bancaires chiffrées et pour l’instant, l’enquête ne permet pas de déterminer si les cybercriminels sont parvenus à s’emparer des deux », écrit le groupe sur le site dédié à l’incident. Pour traduire en des termes plus précis : le groupe n’est pas en mesure de savoir si les clefs de chiffrement des données bancaires ont également été volées. Le groupe affirme avoir pris contact avec les autorités afin de les informer de la situation. L’entreprise a annoncé qu’elle contacterait les clients affectés par la fuite de données afin de les alerter.

Marriott a commencé à avertir les clients victimes de ce piratage par courriel et a mis en place un site d’information et un centre d’appels. L’entreprise offre également à ses clients aux États-Unis et dans d’autres pays un abonnement d’un an au service de détection des fraudes WebWatcher. « Nous n’avons pas été à la hauteur de ce que nos hôtes méritent et de ce que nous attendons de nous-mêmes », a déclaré Arne Sorenson, président et directeur général de Marriott, dans un communiqué. « Nous faisons tout ce que nous pouvons pour soutenir nos hôtes et utiliser les leçons apprises pour aller de l’avant. »

Starwood avait déjà été victime d’une attaque malveillante en 2016, l’année où Marriott avait acquis ce groupe pour 13 milliards de dollars. L’annonce ce nouveau piratage a déjà entrainé le dépôt de deux plaintes en recours collectif (class action) aux Etats-Unis, l’une dans l’État de l’ Oregon, l’autre dans celui du Maryland. La première réclame 12,5 milliards de dollars de dommages, soit 25 dollars pour chacun des 500 millions de clients potentiellement touchés par le piratage de Marriott.

source : ZDnet.com / Cnet France / GlobalSecurityMag.fr