萬豪國際酒店集團已同意支付5200萬美元作為和解協議的一部分，該數據泄露事件暴露了全球超過3.44億名客戶的信息。目前，萬豪在美國各地以及130多個其他國家/地區管理著7000多家酒店。

這家總部位于馬里蘭州貝塞斯達的酒店公司還同意加強其數據安全，并解決2014年至2020年間導致三次重大泄露的問題，根據聯邦貿易委員會（FTC）的說法。監管機構表示，萬豪國際及其子公司喜達屋酒店及度假村將不得不實施“一個健全的信息安全計劃以解決指控”。

在并行調查后，FTC和49個州以及哥倫比亞特區的總檢察長分別宣布了與萬豪的和解協議條款。根據FTC消費者保護局局長塞繆爾·萊文的說法，這些協議將確保萬豪在全球范圍內改善其酒店的數據安全實踐。

萊文說：“萬豪糟糕的安全實踐導致了多次泄露，影響了數億客戶。”在其網站上發布的一份聲明中，萬豪表示，作為和解的一部分，它對“潛在指控”沒有承認責任。它還表示，已經加強了其數據隱私和信息安全實踐，并將繼續做得更多。

協議的條款是什么？

作為與FTC的和解協議的一部分，萬豪被命令采取措施更好地保護客戶的個人信息，并讓客戶對他們的數據有更多的控制權。

萬豪同意為美國的所有客戶提供一種方式，要求刪除與其電子郵件地址或忠誠度獎勵賬戶號碼相關的個人信息。此外，和解要求萬豪在客戶請求時審查忠誠度獎勵賬戶，并恢復被盜的忠誠度積分。

它還被要求實施一個“全面”的信息安全計劃，包括多因素認證、加密和其他保障措施。此外，公司同意配合對其信息安全計劃的第三方審計。萬豪還被告知，只有在業務需要時才收集和保留個人信息，并在不再需要時刪除收集的數據。在與各州的單獨和解中，萬豪還同意支付5200萬美元的罰款，并解決與FTC協議中概述的類似的數據安全指控。

這些指控是什么？

根據FTC的說法，萬豪和喜達屋“欺騙”了消費者，聲稱他們擁有適當的數據安全，而實際上并非如此。

具體來說，投訴聲稱萬豪和喜達屋未能實施適當的密碼、訪問和防火墻控制或網絡分段，修補過時的軟件和系統，或充分記錄和監控網絡環境。

FTC表示，也沒有部署多因素認證。結果，“惡意行為者”通過至少三次單獨的數據泄露獲得了個人信息，包括護照信息、支付卡號碼、忠誠度號碼、出生日期、電子郵件地址和個人信息。

根據FTC的說法，第一次泄露始于2014年6月，影響了喜達屋，并在酒店通知客戶之前未被檢測到14個月。投訴指出，這次泄露暴露了超過4萬名客戶的支付卡信息。盡管萬豪在2016年收購了喜達屋，但它對兩個品牌的數據安全實踐負有責任。

第二次泄露始于2014年7月左右，直到2018年9月才被檢測到。在此期間，不良行為者訪問了全球3.39億喜達屋客戶賬戶記錄，包括超過500萬個未加密的護照號碼。

第三次泄露影響了萬豪自己的網絡，從2018年9月至2020年2月未被檢測到。FTC表示，惡意行為者在那段時間內訪問了520萬客戶記錄，包括180萬美國人的數據。

參考來源：https://cybernews.com/news/marriott-settles-data-breach/