北京時間 12 月 3 日下午消息，萬豪國際集團表示，在獲悉近幾周內(nèi)有大量客戶數(shù)據(jù)被竊取之后，公司很快采取了應(yīng)對措施。但是網(wǎng)絡(luò)安全專家稱，幾年前，萬豪就已經(jīng)錯失了預(yù)防數(shù)據(jù)泄露的良機。

　　上周五，萬豪表示旗下喜達屋酒店的預(yù)訂數(shù)據(jù)庫遭受黑客入侵，其中至多 5 億客戶的個人信息被竊取。入侵事件發(fā)生于 2014 年，直到今年九月才被獲悉。

　　2015 年，喜達屋曾報告了一起小型數(shù)據(jù)泄露事件，黑客在其部分酒店餐廳和禮品店的 POS 系統(tǒng)上安裝了惡意軟件，以收集支付信息。在萬豪宣布收購喜達屋四天之后，喜達屋揭露了這一起攻擊事件。當(dāng)時，這樁價值 136 億美元的收購交易讓萬豪成為了全球范圍內(nèi)最大一家酒店公司。

　　萬豪表示 2015 年的入侵事件不同于周五公開的數(shù)據(jù)入侵事件，且兩者之間并無關(guān)聯(lián)。但是安全專家表示，雖然泄露調(diào)查未能發(fā)現(xiàn)第二次入侵的例子不在少數(shù)，但是倘若當(dāng)時能全面調(diào)查清楚入侵事件，也許就能發(fā)現(xiàn)攻擊者。但是這些攻擊者卻選擇在其預(yù)訂系統(tǒng)中又潛伏了三年多之久。

　　“鑒于萬豪掌握的資源，他們本應(yīng)能夠在 2015 年就將黑客揪出來的。”安全公司 Recorded Future Inc 的研究人員 Andrei Barysevich 說道。

　　“顯然，各方都寧愿該事件能早一點被發(fā)現(xiàn)。”萬豪的發(fā)言人在電子郵件中這樣回復(fù)道，“由于銀行卡支付可能存在風(fēng)險，取證人員已經(jīng)開始調(diào)查處理支付的設(shè)備并試圖從中獲取證據(jù)進行追蹤。”

　　發(fā)言人拒絕對于 2015 年的調(diào)查情況置評，表示這件事發(fā)生在萬豪收購喜達屋之前。喜達屋表示當(dāng)時自己并沒有想到那次攻擊會影響其客人預(yù)訂系統(tǒng)。

　　唯一在規(guī)模上能與此次最新揭露的數(shù)據(jù)竊取事件相提并論的就是 2014 年以及 2013 年的雅虎數(shù)據(jù)泄露事故，分別有 5 億以及 30 億用戶的數(shù)據(jù)被盜。目前，萬豪在業(yè)界的主導(dǎo)地位正面臨傳統(tǒng)酒店行業(yè)對手以及像 Airbnb 等業(yè)界新秀帶來的威脅，而此次數(shù)據(jù)泄露事故也將影響萬豪的名聲。

　　數(shù)據(jù)泄露事故被曝出之后，萬豪股價在周五下跌 5.6%。

　　周日，萬豪仍在梳理此次攻擊事件的緣由和影響。它表示自己在 9 月 8 日收到了一則安全警告，在 11 月 19 日明確黑客已經(jīng)獲取喜達屋預(yù)訂數(shù)據(jù)庫中信息之后，酒店很快通知了客戶以及監(jiān)管機構(gòu)。

　　萬豪稱黑客也許掌握了大約 3.27 億客戶的護照號碼、出行細節(jié)信息，一些情況下信用卡信息、名字以及住址也有可能被泄露。公司周日表示，調(diào)查人員發(fā)現(xiàn)了一個由黑客創(chuàng)建的文件，文件內(nèi)容涉及大約 1.7 億客戶。

　　萬豪在周五開始陸續(xù)向客戶發(fā)送郵件，該流程大約需花費數(shù)周時間。一些客戶抱怨稱自己無法從萬豪那里獲悉信息是否被泄露的確切消息。周日，萬豪表示自己仍在識別第二份文件中的信息，以明確受牽連的客戶。

　　聯(lián)邦調(diào)查局仍在追蹤萬豪酒店黑客入侵事件，紐約、伊利諾伊州以及馬薩諸塞州的檢察長已經(jīng)開始進行調(diào)查。

　　包括弗吉尼亞州參議員 Mark Warner 以及馬薩諸塞州 Elizabeth Warren 在內(nèi)的一些民主黨人士在周五譴責(zé)萬豪并呼吁訴諸國內(nèi)數(shù)據(jù)泄露法律。“只有當(dāng)他們自己的職位‘命懸一線’時，他們才會嚴肅認真地保護我們的數(shù)據(jù)。”參議員 Warren 在 Twitter 上寫道。

　　2014 年黑客入侵之時，黑客們正在瘋狂竊取“酒店數(shù)據(jù)”。2015 年，他們已經(jīng)入侵全球各地希爾頓、Trump Hotel Collection、Mandarin Oriental 等酒店的系統(tǒng)。

　　專家表示，入侵者之所以將目標(biāo)鎖定在這些酒店上，那是源于它們掌握了大量信用卡數(shù)據(jù)并將其存儲在電腦上，而這些系統(tǒng)往往因維護需要可以被遠程操控，此外酒店行業(yè)對于數(shù)據(jù)方面的保護也并不嚴謹。“酒店行業(yè)一直就沒有走在安全措施的前沿。”安全顧問公司 Bishop Fox 的合伙人 Vincent Liu 說道。

　　其他一些轉(zhuǎn)折性的數(shù)據(jù)泄露事件——Target Corp. 以及索尼影視娛樂有限公司在 2013 年和 2014 先后遭黑客入侵——迅速引起了全球范圍內(nèi)大家的關(guān)注，很快整個行業(yè)都開始著力解決計算機安全隱患。Liu 補充說道：“也許此次萬豪事件能讓酒店行業(yè)內(nèi)的董事會成員開始在會議上認真考慮這個問題。”

　　盡管這些事件促使企業(yè)開始在計算機安全上投入更多資金，但是國會并未采取任何實質(zhì)性的舉動。

　　2011 年，喜達屋完成了代號為“瓦爾哈拉”(Valhalla)、為期 10 年的預(yù)訂系統(tǒng)升級項目。公司將利用這一大型集中化數(shù)據(jù)庫負責(zé)遍布約 100 個國家不同品牌下 37 萬個房間的預(yù)訂和信息存儲。

　　前喜達屋的雇員稱，喜達屋完成了多筆收購交易，因而酒店使用的是不同的支付和物業(yè)管理系統(tǒng)，這就很難保證全球計算機網(wǎng)絡(luò)的安全性。

　　“這確實能引起黑客的興趣。”為網(wǎng)絡(luò)保險以及風(fēng)險管理提供服務(wù)的酒店行業(yè)顧問 Paul West 說道。尤其是，這些支付系統(tǒng)很容易被入侵。“這些地方就像是一些景點內(nèi)的夏威夷風(fēng)情酒吧，有些時候這些系統(tǒng)根本無人看管。”West 說道。

　　喜達屋當(dāng)時表示，在 2015 年發(fā)現(xiàn)有黑客入侵時，這些黑客已經(jīng)在喜達屋的網(wǎng)絡(luò)中潛伏了長達八個月時間。最初，公司表示旗下有 54 家酒店被攻擊，但兩個月之后表示有 100 多家酒店均遭黑客入侵。

　　喜達屋在 2015 年 11 月發(fā)表的聲明中表示自己已經(jīng)聘請了外部取證專家來“全面調(diào)查”數(shù)據(jù)入侵事件，但無證據(jù)表明其賓客預(yù)訂或是會員系統(tǒng)受到影響。“我們希望能讓客戶相信，我們已經(jīng)采取了額外的安全措施來預(yù)防此類犯罪事件再次發(fā)生。”一位高管人員在聲明中說道。

　　萬豪稱，最新數(shù)據(jù)入侵事件的攻擊者在 2014 年已經(jīng)侵入了喜達屋的網(wǎng)絡(luò)。這些黑客從系統(tǒng)中創(chuàng)建了兩個大型數(shù)據(jù)文件并試圖將其從公司的系統(tǒng)中移走。萬豪表示自己尚不確定他們是否已經(jīng)從酒店網(wǎng)絡(luò)上移除了這些信息。

　　安全公司以及萬豪在周日表示他們尚未發(fā)現(xiàn)黑市有在出售被盜數(shù)據(jù)。這可能意味著黑客無法從萬豪的網(wǎng)絡(luò)上移走被盜數(shù)據(jù)，但鑒于此次數(shù)據(jù)泄露事件發(fā)生的時間之長，顯然這種假設(shè)不太可能成真。

　　由于攻擊者沒有試圖出售這些數(shù)據(jù)，再加上數(shù)據(jù)信息的敏感性(包括護照號碼)，一些政府官員以及網(wǎng)絡(luò)調(diào)查人員擔(dān)心這些黑客也許是受雇于外國政府，而不是犯罪集團。

　　Recorded Future 的 Barysevich 表示這一點不太可能。在確認數(shù)據(jù)入侵事件被發(fā)現(xiàn)之前，黑客通常不會出售自己竊取來的數(shù)據(jù)，以防自己被網(wǎng)絡(luò)驅(qū)逐。他表示：“我們認為這些數(shù)據(jù)將會被公開。”
　　（邯鄲網(wǎng)站建設(shè)）