NRC: details duizenden reserveringen Booking.com in 2016 gestolen
In 2016 zijn bij Booking.com details van duizenden reserveringen gestolen, zo meldt NRC op basis van een boek over het bedrijf dat vandaag verschijnt. Volgens de krant ging het om reserveringsgegevens van hotels in het Midden-Oosten en had de aanvaller nauwe banden met de Amerikaanse inlichtingendiensten. Booking.com heeft het datalek nooit aan getroffen klanten gemeld.
De hotelreserveringssite ontdekte de inbraak op de eigen systemen zelf. De aanvaller bleek vanaf een server van Booking.com door middel van pincodes, unieke codes die bij specifieke reserveringen horen, informatie over duizenden hotelboekingen op te vragen. Het ging daarbij om hotels in landen in het Midden-Oosten, waaronder Saoedi-Arabië, Qatar en de Verenigde Arabische Emiraten.
De aanvaller kon door een fout worden achterhaald, zo meldt NRC. Hij zou vanaf zijn eigen thuislocatie hebben ingelogd op de server van de hotelreserveringssite. De router die de aanvaller hiervoor gebruikt hoort bij een Androidtelefoon waarmee weleens een overnachting via de Booking-app is gemaakt. Door alle gegevens te combineren achterhaalt Booking.com de naam, nationaliteit en locatie van de aanvaller.
Hij zou in de Verenigde Staten wonen en werkzaam zijn voor een securitybedrijf dat opdrachten uitvoert voor één van de Amerikaanse inlichtingendiensten. De inbraak wordt in 2016 opgemerkt, nog voor de inwerkingtreding van de AVG. Booking.com was dan ook niet verplicht om het datalek aan klanten te melden. In een reactie stelt het bedrijf dat er geen toegang is verkregen tot gevoelige of financiële informatie.
"De toenmalige leiding werkte volgens de principes van de AVG, die bedrijven ertoe aanzette om alleen verdere stappen te ondernemen op het gebied van melding als er daadwerkelijke negatieve effecten waren op het privéleven van individuen, waarvoor geen bewijs werd gevonden", aldus een woordvoerder van Booking.com. Begin dit jaar kreeg de hotelreserveringssite nog een boete van 475.000 euro van de Autoriteit Persoonsgegevens voor het te laat melden van een datalek in 2019.
In 2016 breidde de invloed van IS in het Midden-Oosten zich steeds verder uit. Naast de al enkele jaren gaande horror-repressie van andersdenkenden, zoals in Raqqa, (Irak), vonden er door aanhangers van IS diverse aanslagen plaats zoals in Nice (Frankrijk)
De aanloop naar spionage gericht op IS zal m.i. al wel begonnen zijn in 2014 naar aanleiding van bijvoorbeeld de misselijkmakende executie van een Amerikaanse journalist, die op social media werd gestreamd.
Gezien dat alles vind ik het daarom niet verwonderlijk dat naties (1) IT technologie aangrepen om alle eventuele acties of invloed van IS te zien aankomen en zoveel mogelijk in de kiem te smoren.
(1) Ik denk dat als onderzoeksjournalistiek extensief wordt uitgeoefend m.b.t. opsporingsactiviteiten gericht op IS en het Midden-Oosten in die periode, het helemaal niet zo onwaarschijnlijk zal zijn dat er veel meer wordt ontdekt.
Ook Nederlandse spionageactiviteiten met dezelfde doelstelling en werkwijze? Waarom niet?
Ik vind het daarom niet zo’n schokkend nieuws. Spionage is ook geëvolueerd en degenen die zich daarmee bezighouden gebruiken nu IT technologie i.p.v. een Minox camera, 50 jaar terug.
Samenvattend:
Het is een vorm van ordinaire gebruikelijke spionage die altijd op het randje van (inter)nationale wetgeving plaatsvindt of totaal elke wetgeving negeert, waarbij vooral elke wetgeving m.b.t. behoud of stabilisatie van privacy grof wordt geschonden. Spionage is van alle tijden, volstrekt ambivalent, en zal daarom altijd blijven inbreken op elke wetgeving dan ook, Ja zelfs met verzwegen goedkeuring door willekeurig welke overheid waar dan ook ter wereld.
American spy hacked Booking.com, company stayed silent
https://www.nrc.nl/nieuws/2021/11/10/american-spy-hacked-bookingcom-company-stayed-silent-a4065086
American spy hacked Booking.com, company stayed silent
https://www.nrc.nl/nieuws/2021/11/10/american-spy-hacked-bookingcom-company-stayed-silent-a4065086
@ Anoniem, 16:27 uur,
Dank voor deze link naar het artikel, dat wat dieper ingaat op het geheel.
De Nederlandstalige weergave hiervan is nog uitgebreid met een bijzonderheid als afsluiting:
De man verdween in stilte en ging volledig off the grid. Nergens zijn digitale sporen van zijn bestaan meer te vinden...
Vooral dat laatste is opmerkelijk. Voor digitaal off the grid gaan komt heel wat kijken en is ontzettend moeilijk. Iedereeen weet dat als je eenmaal binnen rolt in het digitale netwerkdomein dat zolang is totdat iemand de stekker er mondiaal uittrekt. Het is bijna pure science fiction.
Maar stel....
Het doet mij dan voorkomen dat deze informant met hulp van alleen god weet welke intelligence service dit voor elkaar heeft gekregen.
Andere identiteit ook misschien? Al met al wordt het vanaf hier 100% speculeren en zou het inspiratie vormen voor een boek van John le Carré, en dáár waag ik me niet aan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
