Pour la deuxième fois en deux ans, le géant hôtelier Marriott a révélé qu'il avait subi une violation de données. Ce nouvel incident a touché 5,2 millions de ses clients, compromettant une série d'informations personnelles les concernant, notamment leurs noms, leurs adresses électroniques et postales, ainsi que les noms de leurs employeurs. Si l'on considère que la précédente violation a touché plus d'un demi-milliard de personnes et a exposé un large éventail de données personnelles, certains pourraient considérer cette nouvelle fuite comme moins dommageable.

Selon l'enquête menée par l'opérateur hôtelier, le nouvel incident a eu lieu dans un hôtel franchisé qui opère sous la marque Marriott. Les identifiants de connexion de deux employés de l'hôtel ont été utilisés par un inconnu pour accéder aux informations des clients. Une fois la brèche découverte, les identifiants ont été désactivés et une enquête a été lancée.

L'enquête a révélé que l'activité malveillante avait commencé à la mi-janvier 2020 et n'avait été découverte que fin février, ce qui a laissé aux cybercriminels un délai d'environ six semaines pour récolter les données. Ce n'est que maintenant que la chaîne internationale d'hôtels a révélé la brèche et avisé les clients concernés.

« Bien que notre enquête soit toujours en cours, nous n’avons actuellement aucune raison de croire que les informations concernées incluaient les mots de passe et codes PIN de comptes Marriott Bonvoy, les informations de cartes bancaires, les informations de passeport ou les numéros de carte d’identité nationale ou permis de conduire. », affirme Marriot dans une déclaration officielle.

Les informations exposées comprennent des coordonnées, notamment des noms, adresses, adresses électroniques, numéros de téléphone, numéros de compte de fidélité et soldes de points, sexe, dates de naissance partielles et coordonnées de l'employeur, programmes de fidélité affiliés et préférences de séjour.

L'entreprise a pris des mesures pour aider ses clients à faire face à cette situation. Elle leur propose un service de suivi personnalisé gratuit pendant un an, bien que ce service ne soit pas disponible pour tous les pays. Elle a également décidé de désactiver les mots de passe actuels de ses programmes de prestations et ses utilisateurs devront activer l'authentification à deux facteurs lorsqu'ils changeront leurs mots de passe. Les autorités ont également été informées.

Afin d'apaiser les craintes d'attaques d’hameçonnage, Marriot a également communiqué l'adresse électronique officielle (marriott@email marriott.com) qui sera utilisée pour contacter les invités au sujet de la situation. Grâce à ce site en libre-service, vous pouvez vérifier si vous avez été victime d'une attaque.

Il s'agit de la seconde violation majeure de données impliquant un opérateur hôtelier qui a été divulguée cette année. MGM Resorts a annoncé en février une brèche dans les données qui a touché 10,6 millions de ses clients, dont le chanteur Justin Bieber et le PDG de Twitter, Jack Dorsey.