Marriott va anunciar el 30 de novembre del 2018 un accés no autoritzat, des del 2014, a la base de reserves de Starwood, amb dades de fins a 500 milions d’hostes. Què va comunicar, què exigeix la normativa europea i què ensenya a qui compra una empresa.
El 30 de novembre del 2018, Marriott International va anunciar que un tercer no autoritzat havia accedit a la base de dades de reserves d’hostes de Starwood, la cadena hotelera que va comprar el 2016. Segons la companyia, el 8 de setembre una eina interna de seguretat va detectar un intent d’accés a aquesta base als Estats Units. La investigació posterior va concloure que hi havia hagut accés a la xarxa de Starwood des del 2014, i el 19 de novembre la companyia va aconseguir desxifrar la informació copiada i confirmar que procedia d’aquesta base.
Quines dades i a quantes persones afecta
Marriott calcula que la base pot contenir informació de fins a uns 500 milions d’hostes que van fer una reserva en un establiment de Starwood, tot i que encara n’estava eliminant els duplicats. Per a uns 327 milions, les dades són una combinació de nom, adreça postal, telèfon, correu electrònic, número de passaport, dades del compte de fidelització, data de naixement, sexe, dates d’arribada i de sortida, data de reserva i preferències de comunicació. Per a la resta, la informació es limita al nom i, de vegades, a alguna dada més.
En alguns casos la base incloïa números de targeta de pagament i dates de caducitat. L’empresa va explicar que estaven xifrats amb l’estàndard AES-128 i que desxifrar-los requereix dos components, però no pot descartar que se n’emportessin tots dos.
Marriott va dir que havia informat les forces de seguretat i que havia començat a notificar-ho als reguladors, sense precisar quins. Ha obert un centre d’atenció telefònica, envia correus als afectats l’adreça dels quals consta a la base i ofereix durant un any un servei de vigilància de dades personals als països on està disponible. El seu conseller delegat, Arne Sorenson, va expressar el seu pesar i va dir que la companyia està retirant els sistemes de Starwood.
El que exigeix l’RGPD
El Reglament general de protecció de dades (RGPD), aplicable des del 25 de maig del 2018, obliga el responsable del tractament a notificar una violació de seguretat a l’autoritat de control sense dilació indeguda i, si és possible, com a màxim 72 hores després d’haver-ne tingut constància; si no arriba a temps, n’ha d’explicar el motiu. Les multes poden arribar als 20 milions d’euros o al 4 % del volum de negoci mundial de l’exercici anterior, la xifra que sigui més gran, per a les infraccions més greus, com vulnerar els principis bàsics del tractament, i als 10 milions o el 2 % per a altres obligacions, com les de seguretat i notificació.
Com que la intrusió es va detectar al setembre i es va comunicar a finals de novembre, diversos experts van assenyalar que podria quedar fora d’aquest termini; correspon a les autoritats de protecció de dades valorar des de quan s’havia de comptar i quines sancions procedirien.
La lliçó per a qui compra una empresa
Marriott va adquirir Starwood el 2016. Segons el comunicat de la companyia, l’accés a la xarxa de Starwood es remunta al 2014, és a dir, és anterior a la compra, i un analista de la consultora Forrester va assenyalar que la intrusió va passar inadvertida durant la integració de les dues empreses. El cas mostra que qui compra una empresa hereta també els seus riscos tecnològics: un accés antic pot sortir a la llum anys després, amb conseqüències legals i de reputació, i amb un règim de sancions que es calcula sobre el volum de negoci del grup.
En una compravenda d’empresa, la diligència deguda pot incloure la ciberseguretat: demanar l’historial d’incidents i d’auditories, saber quines dades personals tracta l’empresa objectiu i on les emmagatzema, comprovar si compleix l’RGPD i la normativa del seu sector, revisar les seves assegurances i els seus contractes amb proveïdors tecnològics, i recollir al contracte declaracions, garanties i indemnitzacions específiques sobre aquests riscos. Després del tancament convé analitzar les xarxes heretades abans de connectar-les amb les pròpies i fixar un calendari per retirar els sistemes antics.
La seguretat de les dades forma part del valor d’una empresa, i també del que es compra amb ella.
Aquest article és informació general. No és assessorament jurídic, fiscal ni d’inversió, i no té en compte les circumstàncies particulars de ningú.
