經銷商專區｜登入
〔最新消息〕2021-04-08
太慢了！ Booking.com因數據洩露報告速度不夠快被罰
有趣的是，開出的罰單並不僅僅是因為存在漏洞，而是因為該公司沒有足夠迅速地報告漏洞。
荷蘭資料保護局（DPA）對Booking.com處以47.5萬歐元的罰款，因為該公司花了太長時間向DPA報告資料洩露事件。違規事件發生後，犯罪分子獲得了超過4000名客戶的個人資料。他們還掌握了近300人的信用卡資訊。
根據該報告，這次攻擊是針對阿拉伯聯合大公國（阿聯酋）的酒店進行的，使用的是電話中的社交工程技巧。
駭客顯然給該地區40家不同酒店的工作人員打電話，說服他們交出Booking.com系統中酒店帳戶的登錄細節。
通過這些竊取的登錄資訊，不法分子檢索到了4109名顧客的預訂資料，其中至少包括這些顧客的姓名、地址和電話號碼。
然而，駭客還掌握了其中283個預訂的信用卡資料，包括97個記錄了CVV的預訂。
CVV是印在卡背面簽名條末端的安全碼（通常是三位數），但沒有以數位形式存儲在其他地方，既不在磁條上，也不在晶片上。
寬泛地說，支付卡行業說，CVVs根本不應該被保存到永久存儲中，至少在交易完成後。
然而，這些代碼經常會被暫時保存，假設交易沒有被立即處理，導致一旦它們被顯示或以後被恢復，就會有暴露的風險。
DPA還聲稱，同樣的犯罪分子試圖通過打電話給酒店並假裝來自Booking.com本身來提取個人資料，儘管不清楚這部分騙局是否按計劃進行。
有什麼風險 ？
即使沒有您的信用卡資料，那些擁有 "口才 "的駭客，知道您已經預訂的酒店住宿的準確細節，他們也有能力用一個假的電話，甚至是用正確的方式表達的假電子郵件來詐騙您。
正如DPA副主席Monique Verdier在管理局的報告中指出的那樣。
通過在電子郵件或電話中冒充酒店工作人員，他們試圖從人們那裡偷錢。如果詐騙者確切知道你何時預訂，預訂的房間是什麼，然後要求你支付有關夜晚的費用，這樣的做法就會顯得非常可信。通過這種方式可以盜取大量的錢財。
畢竟，我們很多人都會有過這樣的提議，從合法的公司，如汽車租賃公司和酒店，我們得到聯繫前，我們已經，作出的預訂，問我們是否要升級，或延長我們的預訂，或提前支付以獲得更便宜的價格，等等。
它是如何披露的
DPA報告將這一事件的時間線列舉如下。
- ● 2018年12月。資料洩露開始
- ● 2019年1月13日：Booking.com意識到了洩漏事件。
- ● 2019年02月04日：Booking.com通知受影響的客戶。
- ● 2019年02月07日：Booking.com通知資料保護局。
資料保護局表示，還不夠好!
公司從知道發生洩密事件時起有72小時的時間提交報告，而不是在通知客戶後72小時。
按照這個標準，Booking.com應該在2021年1月16日之前向DPA報告，比它早了22天。
採取快速行動是必不可少的， 至少對於受害者的違規行為。在收到報告後，DPA可以命令公司立即警告受影響的人。這可以防止犯罪分子有幾個星期的時間試圖欺騙客戶。
該怎麼做？
- ● 確保你的員工感到有能力對抗社交工程師。教導你的員工，對那些打電話來試圖欺騙、甜言蜜語或嚇唬他們的人說 "不 "是完全可以接受的，讓他們透露本應保密的資訊。為什麼不讓你的員工聽一聽我們與著名社交工程專家Rachel Tobac的特別節目播客呢？這個播客會給你信心和理解，讓你堅持我們的口號："如果有疑問，就不要說出來"。
-
● 有地方讓員工報告可疑的電話和資訊。在網路安全問題上，大多數員工都想做正確的事情，所以創建一個眾所周知的內部電子郵件或電話號碼，他們可以在那裡報告那些看起來很詭異的連絡人。尊重你的用戶，你可以把他們變成你的安全團隊的額外眼睛和耳朵。
- ● 制定有一個計畫，如果最壞的情況發生，該怎麼做。在資料洩露的情況下制定計劃並不是承認有罪，也不是無能的表現，因為事後將沒有時間去計畫! 連DPA都承認，"即使你有良好的預防措施，資料洩露也可能在任何地方發生。但為了防止對客戶的傷害和未來的攻擊，你必須及時報告違規事件。" 確保你知道自己需要做什麼，以備不時之需。
原文網址
