29. lokakuuta 2026 kello 0.44

Marriott-tietomurto: Miten 500 miljoonan vieraan passitiedot varastettiin?

Vuonna 2018 maailmanlaajuisia otsikoita tehnyt Marriott International -tietomurto kirjattiin yhdeksi kyberturvallisuushistorian suurimmista ja monimutkaisimmista tapauksista. Tapaus oli kriittinen paitsi vaikutuksen kohteeksi joutuneiden henkilöiden määrän, myös hyökkäyksen hienostuneen rakenteen ja yritysfuusioiden kyberturvallisuusriskejä koskevien tärkeiden opetusten vuoksi. Yli 500 miljoonan hotellivieraan henkilötiedot pysyivät hyökkääjien saatavilla täydet neljä vuotta, jonka aikana passinumerot, yhteystiedot, maksukorttitiedot ja matkustushistoriat kaltaiset arkaluonteiset tiedot päätyivät vääriin käsiin.

Tämä tapaus paljasti erityisesti sen, kuinka kriittisiä kyberturvallisuusarvioinnit ovat yritysfuusioiden ja -yritysostojen (M&A;) aikana. Marriottin vuonna 2016 ostama Starwood Hotels & Resorts -järjestelmäinfrastruktuuri oli todellisuudessa joutunut hyökkäyksen kohteeksi jo paljon aikaisemmin, ja siihen oli asennettu takaovi. Tämä tilanne osoitti, että digitaalisen transformaation aikakaudella yritysten kasvun edellyttää syvällistä tarkastelua paitsi taloudellisesti, myös kyberturvallisuuden näkökulmasta.

Hyökkäyksen anatomia: APT40 ja valtion tukema kybervakoilu

Marriott-tietomurron takana oli APT40 (Advanced Persistent Threat 40) -nimellä tunnettu kybervakoiluryhmä, jonka uskotaan olevan yhteydessä Kiinan hallitukseen. APT-ryhmät ovat valtion tukemia, erittäin organisoituneita ja pitkän aikavälin tavoitteisiin keskittyviä uhkatekijöitä, jotka eroavat perinteisistä kyberrikollisista. Näiden ryhmien tavoitteena on yleensä tiedustelutietojen kerääminen ja strategisten tietojen hankkiminen taloudellisen hyödyn sijaan.

APT40:n tietojenkalastelutoiminta Starwood-järjestelmissä ulottuu vähintään vuoteen 2014. Hyökkääjät asentivat kehittyneitä takaovimekanismeja varmistaakseen jatkuvan pääsyn järjestelmiin. Nämä takaovet oli suunniteltu niin hienostuneesti, että ne pystyivät piiloutumaan järjestelmäpäivityksiltä, tietoturvakorjauksilta ja jopa rutiinitietoturvaskannauksilta havaitsematta. Hyökkääjät omaksuivat hitaan ja metodisen lähestymistavan vähentääkseen havaitsemisen todennäköisyyttä; tätä tekniikkaa kutsutaan nimellä "low and slow", ja se on yksi APT-ryhmien tunnusomaisimmista piirteistä.

Kriittiset haavoittuvuudet Starwood-järjestelmissä

Starwoodin varausjärjestelmä, vieraiden kanta-asiakasohjelma ja asiakassuhteiden hallinta-alustat olivat hyökkääjien ensisijaisina kohteina. Nämä järjestelmät sisälsivät miljoonien asiakkaiden arkaluonteisimmat tiedot:

• Passinumerot ja henkilötiedot: Kansainvälisesti matkustavien vieraiden tunnistautumistiedot
• Yhteystiedot: Sähköpostiosoitteet, puhelinnumerot ja fyysiset osoitteet
• Matkustushistoria: Yöpymispäivät, kohteet ja matkustustottumukset
• Maksukorttitiedot: Vaikka salattuja, joitakin luottokorttinumeroita ja viimeisiä voimassaolopäiviä
• Kanta-asiakasohjelman tiedot: Starwood Preferred Guest (SPG) -tilitiedot ja kanta-asiakaspisteet

Hyökkääjien todellinen tarkoitus näiden tietojen keräämisessä oli mitä todennäköisimmin arvokkaiden profiilien luominen tiedusteluoperaatioita varten. Tiedot siitä, mitkä henkilöt matkustavat mihin maihin ja milloin, kenen kanssa he tapaavat ja missä he yöpyvät, ovat kullanarvoisia valtion tason tiedustelutyössä.

Kyberturvallisuusriski fuusioissa ja yritysostoissa

Marriott-tapaus opetti kipeästi, kuinka kriittinen kyberturvallisuusarviointi on yritysostoissa. Vuonna 2016 Starwoodin 13,6 miljardilla dollarilla ostanut Marriott ei saanut vain hotelliketjuja ja brändejä, vaan myös kybertuhan, joka oli piiloutunut järjestelmiin jo vuosia. Tämä tilanne korostaa "kyberdue diligence" -käsitteen merkitystä M&A-prosesseissa.;

Kyberturvallisuuden tarkistuslista M&A-prosesseissa;

Kriittiset seikat, jotka tulee ottaa huomioon yritysostojen kyberturvallisuusarvioinnissa:

• Kattava turvallisuusauditointi: Kohdeyrityksen kaikkien digitaalisten omaisuuserien, verkkoinfrastruktuurin ja turvallisuuskontrollien yksityiskohtainen tarkastelu
• Aiemmat tietomurrot ja tapahtumat: Aiemmin koetut turvallisuustapahtumat, tietovuodot ja ratkaisemattomat tietoturva-aukot
• Kolmannen osapuolen riskiarviointi: Toimittajien, liikekumppaneiden ja ulkoisten palveluntarjoajien turvallisuustilanne
• Vaatimustenmukaisuustila: GDPR:n, tietosuojalain ja toimialakohtaisten säädösten noudattamisen taso
• Turvallisuuskulttuurin analyysi: Työntekijöiden kyberturvallisuustietoisuus ja sisäisten turvallisuuspolitiikkojen tehokkuus

Marriottin tapauksessa Starwood-järjestelmissä jo olemassa ollutta APT40-läsnäoloa ei havaittu oston edeltävän kyberturvallisuusarvioinnin aikana. Tämä herätti tärkeitä kysymyksiä sekä arvioinnin syvyydestä että APT-ryhmien kyvystä pysyä havaitsemattomina.

124 miljoonan dollarin GDPR-sakko ja oikeudelliset seuraukset

Marriott-tietomurron paljastumisen jälkeen Yhdistyneen kuningaskunnan tietosuojaviranomainen (ICO) määräsi yritykselle aluksi 99 miljoonan punnan (noin 124 miljoonan dollarin) GDPR-sakon. Tämä oli yksi EU:n yleisen tietosuoja-asetuksen (GDPR) mukaisista korkeimmista sakoista. Myöhemmissä arvioinneissa ja COVID-19-pandemian taloudelliset vaikutukset huomioiden sakko kuitenkin alennettiin 18,4 miljoonaan puntaan (noin 23 miljoonaan dollariin).

GDPR ja tietosuojavastuut

Marriott-tapaus valotti GDPR:n kriittisiä periaatteita:

• Vastuuvelvollisuus: Organisaatioiden on todistettava toteuttaneensa asianmukaiset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi
• Ilmoitusvelvollisuus: Tietomurrot on ilmoitettava asianomaisille valvontaviranomaisille 72 tunnin kuluessa havaitsemisesta
• Tietojen minimointi: Vain tarpeelliset henkilötiedot tulee kerätä ja käsitellä