Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Marriott
Filtración de datos de Marriott
La filtración de datos de Marriott de 2018 fue un incidente de seguridad colosal que expuso la información personal de cientos de millones de huéspedes. Originada en la adquisición de Starwood Hotels, esta filtración comprometió datos sensibles como números de pasaporte y detalles de pago, lo que resalta la necesidad crítica de una debida diligencia exhaustiva durante las fusiones y adquisiciones corporativas. Esta fue de las grandes.
Filtración de datos de Marriott explicada: ¿qué pasó?
La filtración se originó dentro del sistema de reservas de Starwood Hotels, que Marriott adquirió en 2016. Los atacantes habían estado merodeando en el sistema desde 2014, pero Marriott solo descubrió el acceso no autorizado en septiembre de 2018. La filtración expuso un enorme volumen de información de identificación personal (PII) perteneciente a los huéspedes que hicieron reservas en propiedades de Starwood.
¿Cuándo ocurrió la filtración de datos de Marriott?
La intrusión inicial en la red de Starwood ocurrió en julio de 2014. Sin embargo, Marriott no descubrió la filtración hasta el 8 de septiembre de 2018. La empresa divulgó públicamente el incidente el 30 de noviembre de 2018, tras confirmar el alcance de la exfiltración de datos. Es decir, los atacantes estuvieron dentro del sistema durante cuatro años antes de que alguien lo notara. Vaya.
¿Quién hackeó a Marriott?
Las identidades y motivaciones detrás de la filtración de datos de Marriott siguen sin confirmarse oficialmente. Sin embargo, los primeros informes e investigaciones de funcionarios estadounidenses sugirieron que el ataque fue llevado a cabo por hackers patrocinados por el estado, vinculados al gobierno chino, como parte de un esfuerzo más amplio de recopilación de inteligencia.
¿Cómo ocurrió la filtración de Marriott?
El ataque comenzó con el compromiso de la red de reservas de huéspedes de Starwood. Los actores de amenazas usaron varias herramientas para obtener acceso, moverse lateralmente por la red y, finalmente, exfiltrar una base de datos masiva con registros de huéspedes. El punto de entrada inicial no es definitivamente público, pero la capacidad de los atacantes de permanecer sin ser detectados durante cuatro años apunta a graves brechas de seguridad.
Cronología de la filtración de datos de Marriott
Julio de 2014: Comienza el acceso no autorizado a la red de Starwood.
Septiembre de 2016: Marriott completa su adquisición de Starwood Hotels & Resorts.
8 de septiembre de 2018: Una herramienta de seguridad interna marca un intento sospechoso de acceder a la base de datos de reservas de huéspedes de Starwood.
19 de noviembre de 2018: La investigación revela que partes no autorizadas habían estado copiando y cifrando información, y tomaron medidas para eliminarla.
30 de noviembre de 2018: Marriott divulga públicamente la filtración de datos y comienza a notificar a los clientes afectados.
4 de enero de 2019: Marriott actualiza el número de huéspedes afectados a aproximadamente 383 millones.
Octubre de 2024: La Comisión Federal de Comercio de EE. UU. (FTC) toma medidas contra Marriott por sus fallas de seguridad relacionadas con esta filtración y otras posteriores.
Detalles técnicos
Una vez dentro de la red de Starwood, los atacantes desplegaron malware, incluido un troyano de acceso remoto (RAT), para mantener su punto de apoyo. Luego usaron herramientas para robar credenciales, como Mimikatz, para escalar privilegios y moverse lateralmente por el sistema. Finalmente, los atacantes identificaron la base de datos de reservas de huéspedes, donde cifraron y exfiltraron los datos durante un período prolongado.
Indicadores de compromiso (IoC)
No se han hecho públicos de manera generalizada indicadores de compromiso (IoC) específicos, como direcciones IP, hashes de archivos o dominios asociados con la filtración de Marriott de 2018. La investigación se centró más en las TTPs (tácticas, técnicas y procedimientos) usadas por los atacantes, como el despliegue de RAT y herramientas para la recolección de credenciales.
Investigación forense y del incidente
Marriott contrató investigadores forenses externos para determinar el alcance de la filtración. La investigación reveló que los atacantes habían estado en el sistema desde 2014 y habían cifrado y exfiltrado una copia de la base de datos de huéspedes de Starwood. Los hallazgos resaltaron fallas de seguridad significativas, incluida la falta de una segmentación de redes adecuada y un monitoreo insuficiente, lo que permitió que los atacantes pasaran desapercibidos durante años.
¿Qué datos se vieron comprometidos en la filtración de Marriott?
Esta no fue una filtración de datos promedio. Los datos comprometidos incluyeron una combinación tóxica de información sensible de aproximadamente 383 millones de huéspedes.
Los datos expuestos incluyeron:
Nombres, direcciones postales, números de teléfono y direcciones de correo electrónico
Números de pasaporte
Información de la cuenta de Starwood Preferred Guest (SPG)
Fechas de nacimiento, género e información de llegada/salida
Números de tarjetas de pago y fechas de vencimiento (aunque muchos estaban cifrados con AES-128)
Incluso con el cifrado en las tarjetas de pago, el enorme volumen de datos personales hizo que esta filtración fuera increíblemente dañina.
¿A cuántas personas afectó la filtración de datos de Marriott?
Marriott estimó inicialmente que hasta 500 millones de huéspedes se vieron afectados. Posteriormente, la empresa revisó esta cifra a la baja, a aproximadamente 383 millones de huéspedes únicos. Aun así, esto la sitúa entre las filtraciones de datos más grandes de la historia.
¿Se expusieron mis datos en la filtración de Marriott?
En el momento de la divulgación, Marriott lanzó un sitio web dedicado y un centro de llamadas para ayudar a los huéspedes a determinar si su información había sido comprometida. La empresa también envió correos electrónicos a las personas afectadas de forma progresiva. Hoy, esos canales de soporte directo ya no están activos, pero si hiciste una reserva en una propiedad de Starwood antes del 10 de septiembre de 2018 o en esa fecha, lo más seguro es asumir que tus datos formaron parte de la filtración.
Impactos clave de la filtración de Marriott
Las consecuencias de esta filtración fueron masivas y de múltiples facetas.
Pérdida financiera: Marriott enfrentó una multa de £18.4 millones (originalmente £99 millones) por parte de la Oficina del Comisionado de Información (ICO) del Reino Unido y fue objeto de numerosas demandas colectivas. El costo total, incluyendo la investigación, la remediación y los honorarios legales, llegó a cientos de millones.
Daño reputacional: La filtración dañó gravemente la confianza en la marca Marriott. Los clientes se mostraron molestos y el precio de las acciones de la empresa cayó tras el anuncio.
Interrupción operativa: El incidente requirió un enorme esfuerzo interno para investigar, contener y remediar, desviando recursos de otras prioridades del negocio.
Respuesta a la filtración de datos de Marriott
La respuesta de Marriott se activó en cuanto se descubrió la filtración. La empresa reportó el incidente a las autoridades y a los organismos reguladores, incluyendo al FBI y al ICO del Reino Unido. También ofrecieron a los huéspedes afectados un año de inscripción gratuita en WebWatcher, un servicio que monitorea sitios web en busca de datos personales. Si bien la respuesta fue rápida tras el descubrimiento, la demora de cuatro años en la detección generó fuertes críticas.
Lecciones de la filtración de datos de Marriott
Este incidente es una clase magistral de lo que no se debe hacer. Estas son las lecciones clave:
La debida diligencia en fusiones y adquisiciones no es negociable: Cuando adquieres una empresa, adquieres la postura de seguridad de esa empresa, sea buena o mala. Una evaluación de ciberseguridad exhaustiva debe formar parte de toda fusión o adquisición.
El inventario de un activo de ciberseguridad importa: No puedes proteger lo que no sabes que tienes. La falla de Marriott al no integrar ni asegurar por completo la red de Starwood fue un descuido crítico.
La detección y respuesta superan a la prevención por sí sola: La prevención falla. Los atacantes estuvieron en la red durante cuatro años. Contar con capacidades sólidas de monitoreo, detección y respuesta ante incidentes es esencial para detectar y expulsar a los intrusos rápidamente.
¿Es seguro Marriott después de la filtración?
Marriott ha invertido fuertemente en mejorar su postura de seguridad desde 2018. La empresa ha declarado que retiró los sistemas de Starwood y ha trabajado para mejorar la seguridad de su red, el monitoreo y las capacidades de respuesta a incidentes. Sin embargo, Marriott sufrió otra filtración en 2022, lo que indica que la ciberseguridad es una batalla continua, no una solución única. En octubre de 2024, la FTC tomó medidas contra la empresa por sus repetidas fallas de seguridad, lo que demuestra que todavía queda trabajo por hacer.
Estrategias de mitigación y prevención
No dejes que lo que le pasó a Marriott te pase a ti. Aquí tienes algunos pasos prácticos para reforzar tus defensas:
Implementa la autenticación multifactor (MFA): Dificulta que los atacantes usen credenciales robadas. En serio, actívala en todas partes.
Realiza auditorías de seguridad rigurosas en fusiones y adquisiciones: Antes de firmar, realiza una evaluación profunda de ciberseguridad de la empresa que estás adquiriendo.
Mantén visibilidad de la red: Usa herramientas como un Security Information and Event Management (SIEM) para monitorear actividad sospechosa en toda tu red.
Aplica parches, parches y más parches: Mantén todos los sistemas y software actualizados para cerrar vulnerabilidades conocidas antes de que los atacantes puedan explotarlas.
Adopta Managed Detection and Response (MDR): Contar con un equipo de expertos en seguridad disponible 24/7 es una de las mejores formas de detectar amenazas antes de que se conviertan en catástrofes.
Preguntas frecuentes sobre la filtración de datos de Marriott
La filtración comenzó con el acceso no autorizado a la red de reservas de huéspedes de Starwood, que Marriott adquirió en 2016. Los atacantes permanecieron en el sistema durante cuatro años, usando malware y credenciales robadas para moverse lateralmente antes de finalmente exfiltrar una enorme base de datos de información de huéspedes.
¿Qué tipo de datos se expusieron en la filtración de Marriott? Se expuso una amplia gama de información de identificación personal (PII). Esto incluyó nombres, direcciones, números de teléfono, direcciones de correo electrónico, números de pasaporte y fechas de nacimiento. También se comprometieron números de tarjetas de pago y fechas de vencimiento de millones de huéspedes.
Aunque no se ha confirmado oficialmente, fuentes del gobierno de EE. UU. han sugerido que el ataque fue llevado a cabo por hackers patrocinados por el estado asociados con el gobierno chino. Se cree que la filtración formó parte de una campaña más amplia de recopilación de inteligencia.
Las empresas pueden reducir su riesgo implementando controles de seguridad sólidos como la autenticación multifactor (MFA) y una gestión de parches consistente. También es fundamental realizar una diligencia debida exhaustiva en ciberseguridad durante las fusiones y adquisiciones, y mantener un monitoreo de red 24/7 para detectar amenazas a tiempo.
