万豪2015年曾有机会发现漏洞 黑客在系统中潜伏3年

腾讯科技讯 据外媒报道，万豪称，在最近获悉遭遇大规模数据入侵后，它立即作出了反应。但是，网络安全专家称，该公司其实在三年前就有机会阻止这次大规模入侵事件发生。

上周五，万豪表示，从2014年到今年9月，它旗下的喜达屋酒店的订房数据库就一直遭到黑客访问而没有被察觉。

在2015年，喜达屋酒店曾报告称它遭到了一次规模相对较小的数据入侵。在这次数据入侵事件中，黑客在喜达屋酒店某些餐馆和礼品店的销售点系统中安装了很多恶意程序，以窃取支付卡信息。而在它宣布这个消息的4天前，万豪宣布斥资136亿美元收购了喜达屋酒店和全球度假屋，从而一跃成为了全球最大的酒店管理公司。

万豪称，在2015年发生的这起数据入侵事件与上周五发生的安全入侵事件完全不同，而且没有关联。但是，安全专家称，如果该公司对于2015年的安全入侵事件进行更彻底的调查，那么它很可能会发现这些黑客，而不至于让他们再在其订房系统中潜伏三年。

“他们拥有强大的资源，本可以在2015年就揪出这些黑客的。”安全公司Recorded Future Inc的研究员安德烈-巴里塞维奇（Andrei Barysevich）称。

“显而易见，此事牵涉到的各方都希望能够更早地发现这些黑客。”万豪发言人在上周日说，“在我们得知支付卡面临安全风险后，我们就立即进行了相关的调查，调查了处理支付卡的设备并收集了相关证据。”这个发言人拒绝对2015年的调查活动发表评论，声称这件事发生在万豪收购喜达屋酒店之前。而在2015年，喜达屋酒店声称，它认为，此次攻击并未影响到它的客房预订系统。

数据入侵规模只有雅虎比得上

此次数据入侵的规模只有雅虎比得上。在2014年和2013年，雅虎分别被窃取了5亿个用户和30亿个用户的个人数据。

这严重威胁到了万豪的声誉。在目前，万豪的统治地位不仅受到了传统竞争对手的冲击，而且还遭到了在线旅游房屋租赁服务公司Airbnb等新兴公司的挑战。此次数据入侵事件让万豪的股价在周五下跌了5.6%。

截至上周日，万豪还在调查此次数据入侵事件的原因和影响范围。它表示，它在今年9月8日第一次接到了安全警告，而且在11月19日确定黑客窃取喜达屋酒店客房预订数据库的信息后迅速通知了它的客户和管制机构。黑客可能获取了大约3.27亿个房客的护照本编号、旅游信息，甚至还包括信用卡信息以及姓名和地址。调查人员还发现了黑客创建的一个包含大约1.7亿个房客信息的文件，但是其中的信息量要少很多。

上周五，万豪开始给其房客发送电子邮件，这个过程可能需要数周时间。一些房客抱怨称，他们无法从万豪那里获得明确的信息：他们的信息到底有没有被窃取。上周日，万豪称，它还在鉴别第二份数据文件中的重复信息，以确定到底有哪些客户受到影响。美国联邦调查局（FBI）称，它一直在关注万豪的情况，而且纽约州、伊利诺伊州和马萨诸塞州的检察官也开始了调查。

几名民主党人士，包括弗吉尼亚州的参议员马克-华纳（Mark Warner）和马萨诸塞州的伊丽莎白-沃伦（Elizabeth Warren），均在上周五批评万豪，并呼吁建立全美国数据入侵法。“如果不设定相应的惩罚规定，这些CEO是不会认真担起保护我们的数据之责的。”参议员沃伦在微博网站Twitter上发推文说。

黑客们疯狂攻击酒店

在2014年，黑客们就开始了疯狂攻击酒店。到2015年，他们侵入到了希尔顿环球酒店、特朗普酒店和文华东方酒店等酒店的系统中。

专家称，这些黑客之所以瞄准酒店，是因为这些酒店的电脑上存有大量的信用卡数据，而且因为这个行业通常会有税收保护政策。“酒店行业从来没有成为安全的中心。”安全咨询公司Bishop Fox的合伙人文森特-刘（Vincent Liu）说。

其他标志性的数据入侵活动，例如2013年塔吉特公司遭遇的数据入侵和2014年索尼影视娱乐公司遭遇的数据入侵，均引起了广泛的注意，也激起了全行业内提高电脑安全漏洞的行动。“也许这也是整个酒店业的共同诉求。”文森特说。

虽然这些数据入侵事件导致企业在电脑安全方面的开支增加，但是它们却没有促使美国国会产生任何重大的行动。

在2011年，喜达屋酒店完成了一个代号为Valhalla的10年期项目，完成了升级其客房预订系统——这是一个大型的集中式数据库，用于为该公司在其遍布100个国家的大约1300个酒店中的大约37万个客房登记预订信息。

喜达屋酒店使用了它通过收购获得的很多不同的支付和资产管理系统，这使得其全球电脑网络很难保证安全。

“这是一个很好的攻击目标。”酒店行业顾问保罗-韦斯特（Paul West）说。尤其是支付系统最容易遭到攻击。“在某些地方，例如某些度假屋中的小酒吧，其支付系统根本没有人管理。”韦斯特说。

被窃信息还没有在黑市上叫卖

在2015年，喜达屋酒店称，这些黑客在该公司的网络中潜伏了大约8个月时间才被发现。起初，该公司称，它有54个酒店遭到数据入侵。两个月后，它又改口称，它有超过100个酒店遭到黑客攻击。

在2015年11月发布的一项声明中，喜达屋酒店称，它雇用了公司外部的安全专家来“全面调查”此次入侵事件。而且，它声称没有迹象表明喜达屋优先房客会员系统受到影响。“我们希望向我们的客户保证，我们采取了额外的安全措施来防止将来再发生类似的数据入侵事件。”一名高管说。

万豪称，这些黑客早在2014年就侵入了喜达屋的网络。黑客从该公司的系统中窃取了大量信息，并创建了两个很大的数据文件，最后设法从该公司系统中删除了这些信息。万豪称，它还不确定黑客是否也从万豪网络上删除了它们窃取的信息。

上周日，安全公司和万豪称，它们没有发现这些被窃数据在黑市上叫卖，这可能是因为黑客还无法从万豪的网络中删除它们窃取的信息。但是，安全公司Recorded Future的研究员安德烈称，考虑到此次入侵事件持续的时间，这似乎并不可能。

鉴于这些黑客并没有销售这些数据，而且这些数据本身非常敏感，例如包含护照本编号，一些政府官员和网络调查人员担心这些黑客可能是代表外国政府而不是犯罪组织在实施数据入侵。

研究员安德烈认为，这也不太可能。因为黑客通常会等待合适的机会再开始销售他们窃取的信息。“我们认为，这些数据迟早会被拿出来公开叫卖。”他说。（腾讯科技编译/乐学）