Hotelmanagementplatform Otelier lekt data gasten Marriott, Hilton en Hyatt
Otelier, een platform dat hotelketens wereldwijd gebruiken voor het beheren van reserveringen, transacties en facturatie, is getroffen door een aanval waarbij gegevens van honderdduizenden gasten zijn gestolen. Het gaat onder andere om gasten van bekende hotelketens zoals Marriott, Hilton en Hyatt, zo meldt Troy Hunt van datalekzoekmachine Have I Been Pwned.
De aanvaller heeft naar eigen zeggen bijna acht terabyte aan data uit de Amazon S3-buckets van Otelier buitgemaakt. De aanval zou begonnen zijn met een Otelier-medewerker die met infostealer-malware besmet raakte. Dergelijke malware steelt allerlei inloggegevens van besmette systemen. Op deze manier kreeg de aanvaller toegang tot de inloggegevens van de 'Atlassian-server' van Otelier, meldt Bleeping Computer.
Vermoedelijk gaat het hier om de Jira-software van Atlassian. Dit is een ticketsysteem voor het tracken van bugs en andere problemen, alsmede projectmanagement. De aanvaller claimt dat hij binnen de tickets inloggegevens voor de S3-buckets vond en zo de terabytes aan data kon stelen. Otelier heeft de inbraak bevestigd, maar nog niet laten weten van hoeveel mensen de gegevens precies zijn gestolen.
Hunt ontving een dataset met bij Otelier gestolen data. Het ging om 437.000 e-mailadressen, alsmede gedeeltelijke creditcardgegevens, telefoonnummers, adresgegevens, aankopen en reisplannen. De e-mailadressen zijn aan Have I Been Pwned toegevoegd. Van de 437.000 buitgemaakte e-mailadressen was tachtig procent al via een datalek bij de zoekmachine bekend. Otelier claimt meer dan tienduizend hotels wereldwijd te bedienen.
In Europa kun je nog wel eens een discussie aangaan met de medewerker achter de balie. Wat doorgaans tot veel onbegrip leidt. Maar dan kom je soms weg met het overnemen van het paspoortnummer in plaats van een hele kopie.
Maar dat hoef je in landen als India, China, VS, etc. natuurlijk niet te proberen. Daar valt weinig te discussiëren.
Maar ook dat het in Europa tot heftige discussies leidt is eigenlijk schandalig.
En hotelketens hebben tegenwoordig automatische check ins waarbij je je paspoort op een scanner moet leggen.
Allemaal beloven ze “je privacy serieus te nemen”.
Totdat het misgaat uiteraard. En alles lekt een keer uit.
Dit is dweilen met de kraan open.
¹ https://www.security.nl/posting/589455/Een+na+grootste+datalek+ooit+bij+hotelketen+Marriot
² https://www.csoonline.com/article/567795/marriott-data-breach-faq-how-did-it-happen-and-what-was-the-impact.html
Het is ook wel erg veel data in een mandje (bucket).
Dat je van één medewerker naar een ticketsysteem naar alle noodzakelijke gegevens voor toegang tot volledige data komt - het zou niet zo makkelijk moeten zijn.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?