万豪集团三次数据泄露事件
万豪在2015年11月16日收购了喜达屋，后者成为万豪的全资子公司。
喜达屋在2024年11月20日宣布，其计算机网络遭受了长达14个月的数据泄露，涉及超过4万名消费者的支付卡信息，包括个人姓名、支付卡号、安全码和有效期。
万豪未能在2018年9月7日之前检测到第二次数据泄露，导致3.39亿条消费者记录的个人信息被泄露，包括未加密的护照号码、性别、地址、电话号码和电子邮件地址等。
万豪在2018年9月至2020年1月期间遭受第三次数据泄露，影响了超过520万条客户记录。
FTC的调查结果
FTC认为万豪未能为收集和维护的个人信息提供合理或适当的安全保障：
1.未能实施适当的密码控制、
2.及时更新过时的软件和系统
3.充分监控和记录网络环境
4.实施适当的访问控制
5.实施适当的防火墙控制
6.实施适当的网络分段
7.应用足够的多因素认证来保护敏感信息
FTC和解结果及整改要求
1.根据提议的命令，万豪和喜达屋将被禁止误导消费者关于他们如何收集、保存、使用、删除或披露个人数据，以及公司保护个人数据的隐私、安全、可用性、保密性或完整性程度。提议命令的其他条款包括：
2.数据最小化：公司必须实施一项政策，仅保留与收集个人数据目的相关的合理必要期限相匹配的个人信息。公司还必须分享收集个人信息的目的以及保留其特定业务需求。
3.全面信息安全计划：Marriott 和 Starwood 需要建立、实施并持续维护一个全面的信息安全计划，并在 20 年内每年向 FTC 证明合规性。信息安全计划必须包含强大的保护措施，并每两年接受一次独立的第三方评估。
4.忠诚奖励计划账户审核：公司必须提供一种方法让消费者请求审核其万豪宝威忠诚奖励账户中的未经授权活动，并且万豪必须恢复由恶意行为者窃取的任何忠诚积分。
5.数据删除：公司必须提供一个链接，让客户请求删除与电子邮件地址和/或忠诚度奖励计划账户号码关联的个人信息。
与其他州的和解
10月9日，由50位总检察长组成的联盟与万豪国际公司达成了一项和解协议，这是对该公司一个大型多年客户预订数据库数据泄露事件的调查结果。联邦贸易委员会（在整个调查过程中与各州密切协调）也与万豪达成了平行协议。根据与总检察长达成的协议，万豪同意采用动态风险管理方法加强其数据安全措施，为消费者提供某些保护，并向各州支付5200万美元。
以下为和解命令全文（点击阅读原文可获得PDF版）：
万豪在2015年11月16日收购了喜达屋，后者成为万豪的全资子公司。
喜达屋在2024年11月20日宣布，其计算机网络遭受了长达14个月的数据泄露，涉及超过4万名消费者的支付卡信息，包括个人姓名、支付卡号、安全码和有效期。
万豪未能在2018年9月7日之前检测到第二次数据泄露，导致3.39亿条消费者记录的个人信息被泄露，包括未加密的护照号码、性别、地址、电话号码和电子邮件地址等。
万豪在2018年9月至2020年1月期间遭受第三次数据泄露，影响了超过520万条客户记录。
FTC的调查结果
FTC认为万豪未能为收集和维护的个人信息提供合理或适当的安全保障：
1.未能实施适当的密码控制、
2.及时更新过时的软件和系统
3.充分监控和记录网络环境
4.实施适当的访问控制
5.实施适当的防火墙控制
6.实施适当的网络分段
7.应用足够的多因素认证来保护敏感信息
FTC和解结果及整改要求
1.根据提议的命令，万豪和喜达屋将被禁止误导消费者关于他们如何收集、保存、使用、删除或披露个人数据，以及公司保护个人数据的隐私、安全、可用性、保密性或完整性程度。提议命令的其他条款包括：
2.数据最小化：公司必须实施一项政策，仅保留与收集个人数据目的相关的合理必要期限相匹配的个人信息。公司还必须分享收集个人信息的目的以及保留其特定业务需求。
3.全面信息安全计划：Marriott 和 Starwood 需要建立、实施并持续维护一个全面的信息安全计划，并在 20 年内每年向 FTC 证明合规性。信息安全计划必须包含强大的保护措施，并每两年接受一次独立的第三方评估。
4.忠诚奖励计划账户审核：公司必须提供一种方法让消费者请求审核其万豪宝威忠诚奖励账户中的未经授权活动，并且万豪必须恢复由恶意行为者窃取的任何忠诚积分。
5.数据删除：公司必须提供一个链接，让客户请求删除与电子邮件地址和/或忠诚度奖励计划账户号码关联的个人信息。
与其他州的和解
10月9日，由50位总检察长组成的联盟与万豪国际公司达成了一项和解协议，这是对该公司一个大型多年客户预订数据库数据泄露事件的调查结果。联邦贸易委员会（在整个调查过程中与各州密切协调）也与万豪达成了平行协议。根据与总检察长达成的协议，万豪同意采用动态风险管理方法加强其数据安全措施，为消费者提供某些保护，并向各州支付5200万美元。
以下为和解命令全文（点击阅读原文可获得PDF版）：