Marriott International喜达屋客户数据库泄露跨越四年未被发现被ICO重罚案

【案件背景】
2018年11月，万豪国际集团（Marriott International）披露其于2016年收购的喜达屋酒店（Starwood）的客户预订数据库遭到入侵，涉及全球约3.39亿条客户记录的增长。后续调查确认实际受影响记录约为3亿条。令人触目惊心的是，攻击者自2014年起即潜伏在喜达屋系统中，在万豪收购后仍持续访问直至2018年9月才被发现。

【违法事实】
ICO调查发现：一是收购尽职调查中未充分评估数据安全风险——万豪在2016年收购喜达屋时未对后者的IT系统和数据安全状况进行充分审查，未能发现喜达屋系统中存在长达两年的未经授权访问；二是事件发现时间严重滞后——攻击者自2014年起已在系统中潜伏，万豪直至2018年9月才通过内部安全工具检测到异常，意味着数据在超过4年时间内持续暴露于攻击者面前；三是暴露的数据极其敏感——泄露信息包括客户姓名、邮寄地址、电话号码、邮箱地址、护照号码、喜达屋优先顾客账户信息、出生日期、性别、抵达和离开信息、预订日期和通信偏好等，其中护照号码属于GDPR特别敏感的类别；四是万豪在知悉后虽然相对及时地向ICO和客户发出了通知，但数据泄露的持续时间和规模已构成GDPR下的严重违规。

【处罚决定】
ICO于2020年10月对万豪处以1840万英镑（约合人民币1.64亿元）罚款，较最初的9920万英镑意向通知大幅下调，ICO表示考虑了万豪在事件披露后的合作态度以及新冠疫情对酒店业的严重影响。处罚依据为GDPR第5(1)(f)条和第32条。此外万豪在美国面临多起集体诉讼并达成和解。

【典型意义】
万豪案确立了并购中数据安全继承责任的全球标杆。一是收购方对目标公司'历史上的'数据安全问题承担责任——万豪在收购后即成为喜达屋客户数据的数据控制者，对于收购前即已存在的安全漏洞负有全面整改和补救义务；二是合并后的IT系统整合是数据安全的关键窗口期——系统迁移和整合过程中最易产生新的安全盲区，必须在整合前完成全面的安全评估和漏洞修复；三是长达四年的潜伏攻击暴露了传统基于边界的安全检测的致命不足——警示企业必须建立持续性的内部威胁检测和异常行为分析能力。