Marriott se fait pirater 500 millions de coordonnées clients

Une spectaculaire attaque informatique vient d’être révélée. La victime, le groupe hôtelier Marriott, confirme le vol de 500 millions de comptes clients dans sa base de données de réservation. La fuite de données aurait débuté en 2014. Une enquête est en cours depuis le 8 septembre 2018.

Il s’agit sans doute de l’une des plus gigantesques fuites de données rendue public au cours de ces dernières années. Le groupe Marriott International, numéro un mondial de l’hôtellerie, annonce avoir été victime d’une faille de sécurité qui a affecté 500 millions de comptes clients. Cette attaque concerne surtout l’enseigne Starwood, rachetée en septembre 2016, pour environ 13,6 milliards de dollars.

C’est le 8 septembre dernier que le groupe hôtelier a été averti qu’une tentative d’accès à un vaste fichier de réservation aux Etats Unis avait été orchestrée. L’enquête a démontré qu’un « tiers non autorisé » avait copié et chiffré des informations et les avait par la suite téléchargées.

Les hackers ont récupéré des numéros de passeport

Mais au delà des 500 millions de comptes piratés, le côté spectaculaire de l’attaque porte sur le niveau d’informations recueillies par les pirates. Ce seraient ainsi plus 327 millions de numéros de passeports, associés à des adresses postales et des emails qui ont fuités, et cela entre 2014 et a priori le 10 septembre 2018. Pire, comme il s’agit de la partie base de données de réservations, des coordonnées de cartes bancaires pourraient faire partie du lot. Marriott assure qu’elles sont cryptées, mais il reste un doute sur la capacité des pirates à avoir pu casser le chiffrement.

Rien de plus n’a pour le moment filtré sur l’ensemble du dossier transmis aux autorités américaines par le groupe Marriott, mais cette affaire risque d’avoir d’importantes conséquences pour le groupe en termes d’image, de gouvernance, mais surtout financiers (l’action a chuté de 5,2% avant l’ouverture de la bourse à New York), et Marriott pourrait par la suite avoir à payer une lourde amende.

Rappelons que pour avoir été victime d’une attaque de vol de données portant sur 220 millions de comptes, l’établissement américain de crédits Equifax –dont le PDG a été licencié suite à cette affaire- est sur le coup d’une amende de plus d’un milliard de dollars. Un autre groupe américain de distribution Target a du lui régler une note de 18,5 millions suite au vol de plusieurs millions de données clients.