Trois brèches Marriott-Starwood, 2014-2020, jusqu’à 500 millions de clients. £18,4M d’amende ICO, 52 M$ versés à 49 États.
Le dossier Marriott-Starwood est la référence des fuites de données hôtelieres à grande échelle. Une intrusion ancienne dans le réseau Starwood a persisté à partir de 2014, bien avant le rachat par Marriott, et a été détectée en 2018 seulement. Elle a exposé jusqu’à environ 500 millions de profils de clients, passeports compris. Deux autres incidents ont suivi, et les régulateurs des deux côtés de l’Atlantique ont fini par trancher : le gendarme britannique des données a infligé une amende record à l’époque, et la FTC américaine a imposé un programme de sécurité contraignant.
Le 30 novembre 2018, Marriott annonce que la base de réservations Starwood a été consultée sans autorisation. L’alerte vient d’un outil de sécurité interne le 8 septembre 2018 ; l’enquête établit un accès non autorisé au réseau Starwood depuis 2014 ; le 19 novembre, Marriott parvient à déchiffrer les données extraites et chiffre l’ampleur : jusqu’à environ 500 millions de clients, dont environ 327 millions avec nom, adresse, téléphone, courriel, numéro de passeport, compte Starwood Preferred Guest, date de naissance, sexe et dates de séjour, selon le communiqué officiel. L’intrusion précède le rachat de Starwood par Marriott en 2016.
Une deuxième fuite est annoncée par Marriott le 31 mars 2020 : environ 5,2 millions de clients touchés, à partir des identifiants de deux employés d’un établissement franchisé, l’activité débutant à la mi-janvier et l’intrusion étant identifiée vers la fin février. Ni cartes bancaires, ni passeports, ni mots de passe dans ce lot.
Un point technique aggravant n’a été rendu public que le 17 avril 2024, dans une mise à jour du communiqué de 2018 : Marriott pensait les numéros de carte et certains numéros de passeport protégés par un chiffrement AES-128 ; l’entreprise a finalement établi qu’ils l’étaient par la fonction de hachage SHA-1, nettement plus faible.
Le 30 octobre 2020, l’Information Commissioner’s Office, l’autorité britannique de protection des données, inflige à Marriott une amende de 18,4 millions de livres pour manquements au RGPD, portant sur jusqu’à 339 millions de clients, dont environ 7 millions de fiches au Royaume-Uni, selon la BBC. Le montant proposé en 2019 s’élevait à 99 millions de livres ; la réduction reflète notamment les progrès constatés après l’incident. La commissaire Elizabeth Denham a résumé le grief : des millions de personnes ont vu leurs données exposées par la faute de Marriott.
Le 9 octobre 2024, la FTC annonce un accord-cadre : Marriott et sa filiale Starwood devront mettre en place un programme de sécurité de l’information complet pour solder des accusations de sécurité défaillante ayant conduit à trois fuites entre 2014 et 2020, touchant plus de 344 millions de clients dans le monde. Marriott accepte en parallèle de verser 52 millions de dollars à 49 États et au district de Columbia. L’accord prévoit un lien de suppression des données personnelles pour les clients américains et la restauration des points de fidélité volés sur demande. L’ordonnance est devenue définitive le 20 décembre 2024, avec en outre une politique de rétention limitant la conservation des données à la durée raisonnablement nécessaire, selon la FTC.
La plainte fédérale dessine un tableau de défaillances internes cumulées : contrôles de mots de passe, de droits d’accès et de pare-feu insuffisants, absence de segmentation réseau, logiciels non corrigés, journalisation et supervision inadéquates, authentification multifacteur déficiente. La FTC ne disposait pas, dans ce dossier, du pouvoir d’infliger des sanctions civiles, d’où le rôle des États.
D’abord la géographie du risque : l’intrusion de 2014 dormait dans le réseau d’une société rachetée deux ans plus tard. Une acquisition sans audit de sécurité profond, c’est un passif hérité, et la FTC a explicitement rendu Marriott responsable des pratiques des deux marques après 2016. Ensuite le modèle franchise : la fuite de 2020 est partie des identifiants de deux employés d’un établissement franchisé, pas du réseau central.
Enfin la durée de vie des données : numéros de passeport et identités complètes ne s’échangent plus seulement sur les forums de cartes bancaires, ils alimentent l’usurpation d’identité pendant des années. La leçon résumée par les deux dossiers régulateurs est la même : collecter moins, segmenter, surveiller, et traiter la sécurité d’un réseau repris en main comme un chantier du premier jour, pas du lendemain de la signature.
Le fournisseur Otelier, utilisé par plus de 10 000 hôtels dont Marriott, Hilton et Hyatt, a confirmé une fuite. Réservations et données clients exposées.
Trustwave, Imperva et Visa documentent des tests de cartes volées sur les moteurs de réservation hôteliers. Un phénomène persistant, pas un incident unique.
En 2012, une sonde branchée sur le port de service ouvrait les serrures Onity. Quatre CVE de SALTO ProAccess SPACE montrent que ce risque physique persiste.