Засегнати са 344 милиона клиенти по целия свят
180 дни след издаването на заповедта на Федералната търговска комисия (FTC) трябва да се постави ясна и забележима връзка на уебсайта на Marriott и в мобилните приложения, която насочва потребителите в САЩ към онлайн процес, чрез който те могат да поискат изтриване на тяхната лична информация, която е свързана с имейл адреса и/или Loyalty Rewards Program номер на профил. Трябва да се потвърди получаването на всяка такава заявка и да се обясни процесът на изтриване в рамките на 60 дни от заявката.
Това пише в заповедта на FTC, изискваща от Marriott International, Inc. и нейното дъщерно дружество Starwood Hotels & Resorts Worldwide LLC да приложат цялостна програма за информационна сигурност след като беше доказано, че компаниите не са въвели reasonable data security, което доведе до три големи нарушения на сигурността данните, засягащи повече от 344 милиона клиенти по целия свят.
Съгласно заповедта от края на декември 2024 г. Marriott и Starwood са задължени да създадат цялостна програма за информационна сигурност, за да помогнат за защитата на личната информация на клиентите, да прилагат политика за запазване на личната информация само толкова дълго, колкото е разумно необходимо.
На компаниите също така е забранено да представят невярно как събират, поддържат, използват, изтриват или разкриват личната информация на потребителите; и степента, до която компаниите защитават поверителността, сигурността, достъпността, поверителността или целостта на личната информация.
През октомври 2020 г. стана известна британската глоба след разкриването на пробивите в сигурността на данните.
През октомври 2024 г. FTC съобщи, че Marriott и Starwood са измамили потребителите, като са заявили, че имат разумна и подходяща сигурност на данните. Въпреки тези твърдения, компаниите не са успели да въведат подходящ контрол на паролите и контрол на достъпа, използвали са остарял софтуер и системи.
FTC твърди, че пропуските в сигурността на Marriott и Starwood са довели до най-малко три отделни пробиви на данни, при които хакери са получили достъп до лични данни.
Първото нарушение започва през юни 2014 г., включвайки информация за платежни карти на повече от 40 000 клиенти на Starwood. Пробивът остава неоткрит в продължение на 14 месеца, докато Starwood не уведомява клиентите през ноември 2015 г., само четири дни след като Marriott обяви, че придобива Starwood.
Второто нарушение започва около юли 2014 г. и остава незабелязано до септември 2018 г. През това време хакери получават достъп до 339 милиона записи на акаунти на гости в Starwood по целия свят, включително 5,25 милиона некриптирани номера на паспорти.
Третият пробив, който остава незабелязан от септември 2018 г. до февруари 2020 г., засяга собствената мрежа на Marriott. Хакери са получили достъп до 5,2 милиона записа на гости по целия свят, включително данни от 1,8 милиона американци. Компрометираните записи съдържат значителни количества лична информация, включително имена, пощенски адреси, имейл адреси, телефонни номера, месец и ден на раждане.
Marriott и Starwood трябва да прилагат политика за запазване на лична информация само толкова дълго, колкото е разумно необходимо за изпълнение на целта, за която е била събрана. Компаниите също така трябва да споделят целта, която стои зад събирането на лична информация и специфичните бизнес нужди за запазването й.
От Marriott и Starwood се изисква да създадат, внедрят и поддържат цялостна програма за информационна сигурност и да удостоверяват съответствие ежегодно в продължение на 20 години. Програмата за информационна сигурност трябва да съдържа стабилни предпазни мерки и да се подлага на независима оценка от трета страна на всеки две години.
Компаниите трябва да осигурят метод за потребителите да поискат преглед на неоторизирана дейност в техните акаунти за награди за лоялност Marriott Bonvoy и Marriott трябва да възстанови всички точки за лоялност, откраднати от хакерите.