Les hôtels Marriott visés par un piratage, 500 millions de clients concernés

C'est un piratage massif qui vient rappeler la nécessité pour les entreprises de prendre au sérieux les enjeux de cybersécurité. Le géant mondial de l'hôtellerie Marriott a annoncé vendredi 28 novembre qu'une base de données contenant des informations de plusieurs centaines de millions de clients avait été piratée. 

Au total, les données personnelles d'environ 500 millions de personnes ayant effectué des réservations avant le 8 septembre dernier dans des hôtels W Hotels, Sheraton Hotels and Resorts, Westin Hotels and Resorts, Le Méridien Hotels and Resorts ou encore Four Points by Sheraton sont ainsi menacées.

Pour 327 millions de victimes, les informations compromises incluent les noms, adresses postales et électroniques, numéros de téléphone et passeport, date de naissance, sexe et des détails sur des comptes Starwood Preferred Guest liés à une carte haut de gamme lancée par American Express à destination des voyageurs réguliers. Pour certains clients, le numéro de carte bancaire et la date d'expiration sont aussi concernés.

Un site et un centre d'appel pour informer les victimes

Seules les réservations opérées par le biais du réseau Starwood sont concernées car "Marriott utilise un système de réservation séparé qui est sur un réseau différent", précise le groupe hôtelier qui a fusionné avec en 2016 avec l'Américain Starwood pour devenir le premier acteur mondial du secteur. 

Marriott a mis en place un site dédié (info.starwoodhotels.com) et un centre d'appel pour informer les clients. Des emails aux personnes doivent être envoyés aux clients concernés à partir de vendredi. Le groupe a également indiqué offrir l'abonnement gratuit à WebWatcher, un service qui surveille internet pour vérifier si des données personnelles d'un client sont utilisées. 

Un piratage massif

Comment les données d'un demi milliard de clients du groupe ont-elles pu être ainsi menacées ? Marriott a indiqué avoir reçu un signalement le 8 septembre 2018 évoquant une tentative d'accès à une vaste base de données de réservations aux États-Unis. L'enquête a révélé qu'un tiers non autorisé avait réussi à copier et crypter des informations et qu'il avait essayé de les exporter. Les premières intrusions remonteraient à 2014. Une enquête a été ouverte. Le groupe dit collaborer avec les forces de l'ordre et les autorités de régulation.

Par son ampleur, ce piratage se situe entre les attaques subies par Yahoo!, qui avait vu 3 milliards de comptes utilisateurs touchés par une fuite de données entre 2013 et 2014, et le site pour adultes Adult Friend Finder, dont plus de 400 millions d'utilisateurs avaient été victimes d'une faille de sécurité fin 2016. 

S'il est prouvé que des clients européens sont concernés par la fuite de données des hôtels Marriott, le groupe s'expose à de fortes amendes : le règlement général européen de protection des données personnelles prévoit que les entreprises mettant en danger leurs utilisateurs peuvent payer une ardoise allant jusqu'à 4% de leur chiffre d'affaires mondial.