Прекршување на податоците за Мериот: Пасошите не се шифрирани

Мериот денеска соопшти дека тимови од форензичари и аналитичари на податоци идентификувале „приближно 383 милиони записи како горната граница“ за вкупниот број изгубени записи за резервации на гости. Компанијата сè уште вели дека нема поим кој го извршил нападот и сугерираше дека бројката ќе се намалува со текот на времето бидејќи се идентификуваат повеќе дупликати записи.

Она што го направи нападот на Старвуд поинаков е присуството на броеви на пасоши, што би можело да ѝ олесни на разузнавачката служба да ги следи луѓето што ги преминуваат границите. Тоа е особено важно во овој случај: во декември, „Њујорк тајмс“ објави дека нападот бил дел од кинеските напори за собирање разузнавачки информации кои, почнувајќи од 2014 година, исто така ги хакирале американските здравствени осигуреници и Канцеларијата за управување со персоналот, која ја одржува безбедноста досиеја за дозвола на милиони Американци.

Засега не се познати случаи во кои биле пронајдени украдени податоци за пасош или кредитна картичка при лажни трансакции. Но, за истражителите за сајбер напади, тоа е само уште еден знак дека хакирањето било спроведено од разузнавачки агенции, а не од криминалци. Агенциите би сакале да ги користат податоците за свои цели - градење бази на податоци и следење на владините или индустриските цели за надзор - наместо да ги искористуваат податоците за економски профит.

Земени заедно, нападот се чинеше дека е дел од поширокиот напор на кинеското Министерство за државна безбедност да состави огромна база на податоци за Американци и други лица со чувствителни владини или индустриски позиции - вклучително каде работеле, имињата на нивните колеги, странски контакти и пријатели , и каде патуваат.

„Големите податоци се новиот бран за контраразузнавање“, рече Џејмс А. Луис, експерт за сајбер безбедност кој ја води програмата за технолошка политика во Центарот за стратешки и меѓународни студии во Вашингтон, минатиот месец.

Marriott International соопшти дека биле украдени помалку записи од клиенти отколку што првично се стравувало, но додаде дека повеќе од 25 милиони броеви на пасоши биле украдени во сајбер нападот минатиот месец. Компанијата денеска соопшти дека најголемото хакирање на лични информации во историјата не било толку големо како што се стравуваше, но за прв пат призна дека нејзината хотелска единица Старвуд не ги криптирала броевите на пасошите за приближно 5 милиони гости. Тие броеви на пасоши се изгубени во напад за кој многу надворешни експерти веруваат дека го извршиле кинеските разузнавачки агенции.

Кога нападот првпат беше откриен од Marriott на крајот на ноември, тој рече дека информациите за повеќе од 500 милиони гости можеби биле украдени, сето тоа од базата на податоци за резервации на Starwood, голем синџир хотели што го купил Marriot. Но, во тоа време, компанијата рече дека бројката е најлошото сценарио бидејќи вклучува милиони дупликати записи.

Ревидираната бројка сè уште е најголемата загуба во историјата, поголема од нападот на Equifax, агенцијата за известување за потрошувачки кредити, која ја загуби возачката дозвола и броевите за социјално осигурување од околу 145.5 милиони Американци во 2017 година, што доведе до смена на нејзиниот главен извршен директор. и огромна загуба на доверба во фирмата.

Еден висок функционер на кинеското Министерство за државна безбедност беше уапсен во Белгија кон крајот на минатата година и екстрадиран во Соединетите Држави под обвинение дека играл централна улога во хакирањето на фирми поврзани со американската одбрана, а другите беа идентификувани во обвинението на Министерството за правда во декември. Но, тие случаи не се поврзани со нападот во Мериот, кој ФБИ сè уште го истражува.

Кина негираше какви било информации за нападот на Мериот. Во декември, Генг Шуанг, портпарол на нејзиното Министерство за надворешни работи, рече: „Кина цврсто се спротивставува на сите форми на сајбер напади и ги сузбива во согласност со законот“.

„Доколку им бидат понудени докази, релевантните кинески оддели ќе спроведат истраги во согласност со законот“, додаде портпаролот.

Истрагата на „Мериот“ откри нова ранливост во хотелските системи: Што се случува со податоците за пасошот кога клиентот прави резервација или чекира во хотел, обично во странство, и му го предава пасошот на службеникот во бирото. Мериот за прв пат рече дека 5.25 милиони броеви на пасоши се чуваат во системот Старвуд во обични, нешифрирани датотеки со податоци - што значи дека тие лесно се читаат од секој внатре во системот за резервации. Дополнителни 20.3 милиони броеви на пасоши биле чувани во шифрирани датотеки, за кои би бил потребен главен клуч за шифрирање за да се прочита. Не е јасно колку од оние кои се вклучени со американски пасоши и колку доаѓаат од други земји.

„Нема докази дека неовластено трето лице пристапило до главниот клуч за шифрирање потребен за дешифрирање на шифрираните броеви на пасошите“, се вели во соопштението на Мериот.

Не беше веднаш јасно зошто некои броеви се шифрирани, а други не - освен тоа што хотелите во секоја земја, а понекогаш и секој имот, имаа различни протоколи за ракување со информациите за пасошот. Експертите за разузнавање забележуваат дека американските разузнавачки агенции често ги бараат броевите на пасошите на странците што ги следат надвор од Соединетите Држави - што може да објасни зошто американската влада не инсистирала на посилно шифрирање на податоците за пасошите ширум светот.

На прашањето како Мериот се справува со информациите сега кога ги спои податоците на Старвуд во системот за резервации на Мериот - спојување што штотуку беше завршено на крајот на 2018 година - Кони Ким, портпаролка на компанијата, рече: „Ја разгледуваме нашата способност да се преселиме за универзално шифрирање на броевите на пасошите и ќе работиме со нашите продавачи на системи за подобро да ги разбереме нивните способности, како и да ги разгледаме важечките национални и локални регулативи“.

Стејт департментот минатиот месец издаде соопштение во кое им порача на имателите на пасоши да не паничат бидејќи само тој број нема да му овозможи на некој да создаде лажен пасош. „Мериот“ соопшти дека ќе плати за нов пасош за секој чии податоци за пасошот, хакирани од нивните системи, се откриени дека се вмешани во измама. Но, тоа беше нешто како корпоративна лукавство, бидејќи не обезбедуваше покритие за гостите кои сакаа нов пасош само затоа што нивните податоци беа земени од странски шпиони.

Досега, компанијата се откажа од решавањето на тој проблем велејќи дека нема докази за тоа кои биле напаѓачите, а САД официјално не ја обвинија Кина во случајот. Но, приватните сајбер-разузнавачки групи кои го разгледаа прекршувањето забележаа силни паралели со другите напади поврзани со Кина кои беа во тек во тоа време. Претседателот и главен извршен директор на компанијата, Арне Соренсон, не одговори на прашањата за хакирањето во јавноста, а Мериот рече дека патува и го одби барањето на Тајмс да зборува за хакирањето.

Компанијата, исто така, рече дека околу 8.6 милиони кредитни и дебитни картички биле „вклучени“ во инцидентот, но сите тие се шифрирани - и сите освен 354,000 картички истекоа до септември 2018 година, кога беше откриено хакирањето, кое траеше со години.