Violation de données clients Marriott / Starwood

Le 30 novembre 2018, Marriott International a révélé que des opérateurs — évalués par le gouvernement américain et de grands analystes du secteur comme des acteurs étatiques chinois — étaient présents sur la base de données de réservation des clients de Starwood Hotels & Resorts depuis juillet 2014. L'intrusion avait survécu à l'acquisition de Starwood par Marriott pour 13,6 milliards de dollars en 2016, et s'était poursuivie sans être détectée pendant les deux années suivantes de propriété de Marriott.

L'exfiltration totale : des enregistrements personnels portant sur jusqu'à 500 millions de clients — à l'époque la deuxième plus grande violation de données de l'histoire, derrière la seule Yahoo.

Ce qui s'est passé

Les attaquants ont pénétré dans le réseau de Starwood à la mi-2014 — plus de quatre ans avant la révélation publique. Ils ont installé une combinaison de :

• Web shells pour un commandement et contrôle persistant via HTTP
• MimiKatz pour la collecte d'identifiants
• Multiples implants sur mesure pour la préparation et l'exfiltration des données

Une fois à l'intérieur, ils ont obtenu des identifiants d'administrateur de domaine, cartographié l'environnement et obtenu l'accès à la base de données centrale de réservation des clients que Starwood utilisait pour l'ensemble de ses établissements de marque Westin, Sheraton, W, St. Regis, Le Méridien, Aloft et autres à travers le monde.

Pendant les quatre années et plus qui ont suivi, les opérateurs ont eu un accès continu à :

• Noms, adresses, numéros de téléphone, adresses e-mail des clients
• Dates de naissance
• Numéros de passeport (~5,25 millions stockés non chiffrés ; ~20 millions chiffrés avec des clés également présentes dans l'environnement)
• Informations de compte de programme de fidélité (Starwood Preferred Guest)
• Dates d'arrivée et de départ, dates de réservation
• Pour ~8,6 millions de clients : données de cartes de paiement chiffrées, bien que les clés de chiffrement se trouvaient sur les mêmes systèmes compromis

L'exfiltration a été lente, prudente et continue — cohérente avec une opération de collecte de renseignement étatique plutôt qu'avec un coup criminel rapide.

L'acquisition de Marriott et la migration manquée

En septembre 2016, Marriott a finalisé son acquisition de Starwood. Dans le cadre du plan d'intégration, Marriott prévoyait de migrer les réservations Starwood vers sa propre plateforme Marsha sous deux ans. La migration n'a pas été achevée avant la détection de la violation — et les attaquants ont conservé leur accès à l'infrastructure côté Starwood tout au long de la période post-acquisition.

L'implication stratégique : Marriott a hérité d'une violation active inconnue lors de l'acquisition. La diligence raisonnable standard pré-acquisition (financière, juridique, réglementaire) n'avait pas révélé la compromission. La diligence raisonnable spécifique à la cybersécurité est depuis devenue une composante standard des fusions-acquisitions dans les secteurs réglementés — Marriott / Starwood est l'un des cas motivants les plus cités.

La détection est finalement intervenue le 8 septembre 2018, lorsque l'outil de détection des menaces de Marriott géré par Accenture a déclenché une alerte sur une requête interne suspecte à la base de données du système de réservation de Starwood. L'enquête forensique qui a suivi a fait remonter l'accès jusqu'à juillet 2014.

Impact

• 500 millions d'enregistrements clients exposés, dont :
  • ~327 M d'enregistrements comportant des données significatives de documents d'identité
  • ~5,25 M de numéros de passeport non chiffrés
  • ~20 M de numéros de passeport chiffrés (avec des clés récupérables)
  • ~8,6 M de numéros de cartes de paiement chiffrés
• Sanction de l'ICO britannique : 18,4 M£ (~23,8 M$ US) en octobre 2020 — troisième plus importante sanction RGPD à l'époque.
• Règlement avec les procureurs généraux de plusieurs États américains : 52 M$ convenus en octobre 2024.
• Règlement d'un recours collectif : 26,5 M$ en 2022.
• Coût total divulgué : plus de 200 M$ avant assurance.

Attribution

L'attribution publique du gouvernement américain — par des déclarations de hauts responsables de la NSA, du DHS et du FBI à la presse en décembre 2018 — désignait les services de renseignement chinois, l'opération étant évaluée comme faisant partie de la plus large campagne chinoise de collecte ciblant les sources de données américaines riches en enregistrements personnels. Le même groupe d'acteurs a ciblé Anthem (2015), l'OPM (2015) et Equifax (2017).

La valeur stratégique des données Marriott / Starwood réside dans le renseignement sur les schémas de déplacement : identifier quand des personnes d'intérêt spécifiques — responsables du gouvernement américain, officiers de renseignement, personnel des services extérieurs, employés de sous-traitants disposant d'accès habilités — se trouvaient à tel endroit, et avec qui leurs séjours se recoupaient. Recoupées avec les jeux de données de l'OPM et d'Anthem, ces informations combinées produisent un profil opérationnel complet.

Pourquoi c'est important

Marriott / Starwood est le cas emblématique de la diligence raisonnable cyber dans les fusions-acquisitions. Il a établi :

• Que des intrusions actives peuvent survivre aux acquisitions et devenir le problème de l'acquéreur après la conclusion. La posture de cybersécurité de la société acquise est une responsabilité héritée.
• Que les numéros de passeport constituent une catégorie cible de données distincte des identifiants ou des PII. Les numéros de passeport n'expirent pas et ne peuvent être réémis sans un coût administratif important ; leur compromission est effectivement permanente.
• Qu'une durée de présence de plus de quatre ans au sein d'une entreprise du Fortune 500 est opérationnellement réalisable pour des acteurs étatiques. Le mécanisme de détection qui a finalement révélé la violation existait, mais seulement au stade post-acquisition — la détection pré-acquisition de Starwood n'avait pas surpris l'opération en plusieurs années d'activité.
• Que l'application du RGPD peut produire des sanctions à huit chiffres contre des entreprises américaines pour défaut de protection des données personnelles de l'UE, même lorsque la violation sous-jacente est antérieure au règlement. La sanction de l'ICO a été prononcée en 2020 pour une intrusion ayant débuté en 2014.