Sonder证实数据泄露

酒店公司Sonder已经证实，有数据泄露可能会影响客人记录。根据2022年11月23日(周三)发布的安全更新，Sonder公司在11月14日获悉其一个系统遭到未经授权的访问。

该公司写道：“Sonder公司认为，2021年10月1日之前创建的客人记录与此次事件有关，没有证据表明2022年11月14日之后创建的账户涉及此事。”

Osirium的产品专家Mark Warren解释说:“这表明自去年10月以来，该公司已经改进了他们的安全措施，或者攻击者设法访问了数据的旧备份或副本。”

沃伦告诉Infosecurity：“未经授权的访问可能适用于在职员工、不久前离职的员工、供应商或攻击者。”

据报道，此次泄露的潜在数据包括用户名和加密密码、姓名、电话号码、出生日期、地址和电子邮件地址。某些客人的交易收据，包括信用卡号和交易金额的后四位数字，以及在Sonder酒店的预订日期，也可能被泄露。

该公司补充说:“此外，Sonder认为，政府签发的身份证件的副本，如驾照或护照，可能被获取了有限数量的客人记录。”

Sonder解释说：“在发现漏洞后，它采取了措施来控制它，包括确保未经授权的个人不再可以访问系统，操作不受影响，并调查事件的范围。”

据报道，该公司也在通知受影响的用户和适当的监管机构，并已联系执法部门。

沃伦说：“公司应该从这类数据泄露事件中吸取教训，通过保护客户数据库(和备份)不受攻击者、心怀不满的员工和意外破坏的伤害，改善他们的安全态势。并且不要让员工直接访问用于访问这些系统的证书。”

沃伦补充说:“这不仅降低了访问被泄露的风险，而且当公司需要轮换证书时，这使生活容易得多。如果没有这种控制，定期更改证书或使其高度复杂就会变得太昂贵，所以许多人最终走了捷径，或者没有足够频繁地更新证书。”

总而言之，沃伦认为保护总是会回归到根本。了解敏感数据和系统的位置，了解谁有权访问和谁真正需要这些数据，并确保只能通过特权访问管理等安全渠道访问。

Sonder数据泄露事件发生几周前，Shein的控股公司Zoetop因未能正确告知客户黑客入侵事件而被罚款190万美元。据报道，黑客入侵影响了数百万用户。