Dans la déclaration, le Marriott indique qu’il n’a été alerté par un outil de sécurité interne que le 8 septembre 2018, quatre ans après le début de l’incident. Après une enquête, la société a conclu le 19 novembre que la défaillance avait affecté la base de données de Starwood, une société qui a fusionné avec Marriott en 2016 et qui comprend 11 marques d’hôtels, comme Sheraton, Four Points, W Hotels, Westin et Le Méridien.
Sur les 500 millions de personnes touchées, 327 millions ont eu un nom, une adresse, un numéro de téléphone, une adresse électronique, une date de naissance, un sexe, des dates d’arrivée et de départ, une date de réservation, des préférences de communication, des informations sur le compte Starwood Preferred Guest (SPG) et un numéro de passeport consulté par erreur. Pour le reste, seuls le nom et les données moins sensibles ont fait l’objet de fuites.
En outre, le Marriott rapporte que “pour certains, les informations comprennent également les numéros et les dates d’expiration des cartes de paiement, mais les numéros de cartes de paiement ont été cryptés avec la norme de cryptage avancée (AES-128)”. Pour casser le cryptage, il était nécessaire d’avoir deux clés en main, et la société affirme qu'”elle n’a pas pu exclure la possibilité que les deux aient été volées”.
Les personnes qui ont fait une réservation dans un hôtel Starwood jusqu’au 10 septembre 2018, ou qui font partie du programme Starwood Preferred Guest (SPG), ont été potentiellement touchées. Le Marriott invite les utilisateurs à surveiller leurs comptes SPG pour détecter toute activité suspecte et à se tenir au courant des transactions par carte de crédit utilisées pour payer la facture dans un hôtel Starwood.
Marriott dit qu’il travaille avec les autorités pour enquêter sur l’affaire et enverra des courriels aux utilisateurs concernés à partir de ce vendredi (30). La société gère 6 700 hôtels dans 129 pays.
