Booking.com demorou a revelar vazamento de dados e acabou multado

A autoridade de proteção de dados dos Países Baixos multou a plataforma de reservas em hotéis Booking.com em €475 mil — cerca de R$ 3,1 milhões em conversão direta de moeda.

O motivo é um comportamento considerado inadequado em caso de ciberataques, de acordo com a regulamentação da União Europeia, a GDPR. O serviço teve dados acessados por terceiros, mas levou 22 dias para comunicar o incidente. Na legislação, o prazo máximo admitido é de 72 horas após descobrir a brecha de segurança.

Em resposta à multa, a Booking.com reconheceu a falha e não vai entrar com recurso contra o pagamento da taxa. Além disso, a empresa reforça que tomou todas as medidas necessárias para garantir a segurança dos clientes, incluindo medidas próprias de investigação que levaram ao atraso na notificação às autoridades.

O golpe

De acordo com o site The Record, a invasão ocorreu em dezembro de 2018 e resultou na coleta de dados de 4.109 pessoas que reservaram um quarto em um hotel dos Emirados Árabes Unidos.

Números de cartões de crédito e seus respectivos códigos de segurança também foram acessados e, em alguns casos, os criminosos chegaram a contatar as vítimas fingindo ser do Booking.com para aplicar golpes.

A invasão foi possível após os bandidos ganharem acesso às credenciais de um dos funcionários da plataforma, a partir de técnicas não detalhadas no relatório. Em comunicado, a empresa afirma que não houve comprometimento do código ou dos bancos de dados que alimentam a plataforma, mas sim um roubo de logins dos parceiros, o que permitiu o vazamento de dados.