okt. 29, 2026, 12:44 e.l.

Marriotti andmeleke: kuidas varastati 500 miljoni külalise passiandmed?

2018. aastal ülemaailmset tähelepanu pälvinud Marriott International andmelekke juhtum läks ajalukku kui üks küberturvalisuse ajaloo suurimaid ja keerukamaid intsidente. Juhtum oli kriitiline mitte ainult mõjutatud isikute arvu poolest, vaid ka rünnaku keeruka olemuse ja ettevõtete ühinemiste küberturvalisuse riskide osas oluliste õppetundide pärast. Üle 500 miljoni hotellkülalise isikuandmed olid ründajate käes täpselt neli aastat ja selle aja jooksul varastati tundlikku teavet nagu passinumbrid, kontaktandmed, maksekaardi üksikasjad ja reisiajalugu.

See juhtum näitas eriti selgelt, kui kriitilised on küberturvalisuse hindamised ettevõtete ühinemiste ja ülevõtmiste (M&A;) protsessides. Marriotti poolt 2016. aastal Starwood Hotels & Resorts'i ostmisega üle võetud süsteemiinfrastruktuur oli tegelikult juba palju varem ründe alla sattunud ja sinna oli paigaldatud tagauks. See olukord näitas, et digitaalse transformatsiooni ajastul nõuab ettevõtete kasv mitte ainult finantsilist, vaid ka küberturvalisuse seisukohast põhjalikku analüüsi.

Rünnaku anatoomia: APT40 ja riigi toetatud küberluure

Marriotti andmelekke taga oli APT40 (Advanced Persistent Threat 40) nimega tuntud küberluure rühmitus, mis arvatakse olevat seotud Hiina valitsusega. APT-rühmad on traditsioonilistest küberkurjategijatest erinevad riigi toetatud, äärmiselt organiseeritud ja pikaajalistele eesmärkidele keskenduvad ohutegurid. Nende rühmituste eesmärk on tavaliselt mitte finantsiline kasu, vaid luureteabe kogumine ja juurdepääs strateegilisele teabele.

APT40 operatsioon Starwoodi süsteemidesse tungimiseks ulatub vähemalt 2014. aastasse. Ründajad paigaldasid süsteemidesse jätkusuutliku juurdepääsu tagamiseks arenenud tagaukse mehhanisme. Need tagauksed olid projekteeritud nii keerukalt, et neid ei avastatud süsteemiuuendustel, turvaparandustel ega isegi rutiinsetel turvalisuse skaneerimistel. Ründajad võtsid kasutusele aeglase ja metoodilise lähenemise, et vähendada avastamise tõenäosust; seda tehnikat nimetatakse "low and slow" meetodiks ja see on üks APT-rühmituste iseloomulikumaid omadusi.

Kriitilised nõrkused Starwoodi süsteemides

Starwoodi broneerimissüsteem, külaliste preemiaprogramm ja kliendisuhete haldusplatvormid olid ründajate peamiste sihtmärkide hulgas. Need süsteemid sisaldasid miljonite klientide kõige tundlikumat teavet:

• Passinumbrid ja isikuandmed: Rahvusvaheliselt reisivate külaliste isikutuvastuse andmed
• Kontaktandmed: E-posti aadressid, telefoninumbrid ja füüsilised aadressid
• Reisiajalugu: Majutuskuupäevad, sihtkohad ja reisiharjumused
• Maksekaardi andmed: Kuigi krüpteeritud, mõned krediitkaardi numbrid ja aegumiskuupäevad
• Preemiaprogrammi andmed: Starwood Preferred Guest (SPG) konto üksikasjad ja lojaalsuspunktid

Ründajate peamine eesmärk nende andmete kogumisel oli tõenäoliselt väärtuslike profiilide loomine luuretegevuse tarbeks. Teave selle kohta, millised inimesed millisesse riiki millal reisisid, kellega kohtusid ja kus peatusid, on riigivälise luure jaoks kuldaväärt.

Küberturvalisuse risk ühinemiste ja ülevõtmiste puhul

Marriotti juhtum õpetas valulikult, kui kriitiline on küberturvalisuse hindamine ettevõtete ülevõtmistel. Marriott, kes ostis 2016. aastal Starwoodi 13,6 miljardi dollari eest, võttis üle mitte ainult hotellketid ja kaubamärgid, vaid ka aastatepikkuse küberohuga, mis oli süsteemis peidus. See olukord rõhutab "küberduurimuse" (cyber due diligence) mõiste tähtsust M&A; protsessides.

Küberturvalisuse kontroll-loend M&A; protsessides

Ettevõtete ülevõtmisel tuleb küberturvalisuse hindamisel arvesse võtta järgmisi kriitilisi aspekte:

• Põhjalik turvalisuse audit: Sihtettevõtte kõigi digitaalsete varade, võrguinfrastruktuuri ja turvalisuse kontrollide üksikasjalik läbivaatus
• Varasemad lekked ja intsidentide ajalugu: Varem toimunud turvalisuse sündmused, andmelekked ja lahendamata turvalisuse nõrkused
• Kolmanda osapoole riski hindamine: Tarnijate, äripartnerite ja väliste teenusepakkujate turvalisuse olukord
• Vastavuse seisund: Vastavus GDPR-ile, kohalikele andmekaitseseadustele ja valdkondlikele regulatsioonidele
• Turvakultuuri analüüs: Töötajate küberturvalisuse teadlikkus ja ettevõttesiseste turvapoliitikate tõhusus

Marriotti puhul ei avastatud Starwoodi süsteemides juba olemasolevat APT40 kohalolekut ülevõtmise-eelsel küberturvalisuse hindamisel. See tõstatas olulisi küsimusi nii hindamise põhjalikkuse kui ka APT-rühmituste võime kohta jääda avastamata.

124 miljoni dollari suurune GDPR trahv ja õiguslikud tagajärjed

Pärast Marriotti andmelekke avalikustamist määras Ühendkuningriigi Teabevoliniku Amet (ICO) ettevõttele algselt 99 miljoni naelsterlingi (ligikaudu 124 miljoni dollari) suuruse GDPR trahvi. See oli üks suurimaid trahve Euroopa Liidu isikuandmete kaitse üldmääruse (GDPR) alusel. Kuid hilisematel hinnangutel ja COVID-19 pandeemia majanduslikke mõjusid arvestades vähendati seda trahvi 18,4 miljoni naelsterlingini (ligikaudu 23 miljoni dollarini).

GDPR ja andmekaitse kohustused

Marriotti juhtum valgustas GDPR-i kriitilisi põhimõtteid:

• Vastutus: Organisatsioonid peavad tõestama, et nad on võtnud isikuandmete kaitsmiseks asjakohaseid tehnilisi ja organisatsioonilisi meetmeid
• Teatamiskohustus: Andmelekked tuleb pärast avastamist 72 tunni jooksul teatada asjaomasele järelevalveasutusele
• Andmete minimeerimine: Kogutakse ja töödeldakse ainult vajalikke isikuandmeid