FTC memerintahkan Marriott dan Starwood untuk memperkuat keamanan data mereka.

Komisi Perdagangan Federal mengumumkan pada hari Jumat bahwa mereka telah menyelesaikan perintah (pdf) yang mengharuskan Marriott International dan anak perusahaannya Starwood Hotels untuk meningkatkan keamanan digital mereka, melaporkan BleepingComputer. FTC menuduh perusahaan-perusahaan tersebut dengan praktik keamanan yang kurang baik yang mengakibatkan tiga pelanggaran besar yang terdeteksi pada tahun 2015, 2018, dan 2020, “mempengaruhi lebih dari 344 juta pelanggan di seluruh dunia,” bocornya rincian paspor, kartu pembayaran, dan informasi lainnya.

Pelanggaran terpendek berlangsung selama 14 bulan sebelum terdeteksi, sedangkan pelanggaran terpanjang melihat penyerang mempertahankan akses selama empat tahun, dimulai pada tahun 2018. Program keamanan yang diperkuat yang mereka setujui untuk didirikan termasuk menciptakan kebijakan untuk hanya menyimpan informasi selama yang diperlukan dan mempublikasikan tautan yang memungkinkan pelanggan AS untuk meminta penghapusan informasi yang terkait dengan alamat email atau akun loyalitas mereka.

Hotel telah menjadi salah satu target utama bagi para peretas, dengan satu pelanggaran tahun lalu menangkap Ketua FTC Lina Khan di antara banyak orang yang terpaksa menunggu untuk check-in ketika serangan ransomware memaksa MGM Resorts untuk kembali menggunakan pena dan kertas.

FTC mengumumkan tuduhannya pada bulan Oktober, menuduh perusahaan-perusahaan tersebut telah “menipu konsumen” dengan klaim palsu tentang “keamanan data yang wajar dan tepat.” Kegagalan yang diduga mereka termasuk memiliki praktik kata sandi dan firewall yang buruk serta tidak memperbarui perangkat lunak dan sistem yang sudah ketinggalan zaman. Pada hari yang sama FTC mengungkapkan tuduhannya, kantor Jaksa Agung Connecticut mengumumkan bahwa Marriott telah setuju untuk penyelesaian $52 juta.

Selain meningkatkan keamanan mereka, perusahaan-perusahaan sekarang dilarang “dari menyesatkan cara mereka mengumpulkan, menjaga, menggunakan, menghapus, atau mengungkap informasi pribadi konsumen; dan sejauh mana perusahaan melindungi privasi, keamanan, ketersediaan, kerahasiaan, atau integritas informasi pribadi.” Persyaratan lain termasuk agar mereka menyimpan catatan kepatuhan dan tunduk pada inspeksi FTC. Perintah ini akan berlaku selama 20 tahun.