MGM Resorts International bevestigde dat hackers een onbepaalde hoeveelheid persoonlijke gegevens van klanten hebben gestolen tijdens een cyberaanval in september, die de hotel- en casinogigant naar schatting $100 miljoen heeft gekost. De hotel- en casinogigant maakte op 11 september voor het eerst bekend dat het het doelwit was geweest van een enorme cyberaanval.
De cyberaanval werd uitgevoerd door hackers van de ALPHV-subgroep Scattered Spider. Een paar dagen later veroorzaakte de cyberaanval wijdverbreide verlamming van MGM-hotels, het afsluiten van geldautomaten en speelautomaten en het offline halen van de website en het online reserveringssysteem van het bedrijf.
In een wettelijke aanvraag op donderdag erkende het bedrijf dat de hackers die verantwoordelijk waren voor de aanval de persoonlijke informatie hadden verkregen van sommige klanten die vóór maart 2019 transacties met MGM Resorts hadden uitgevoerd. Deze informatie omvat naam, contactgegevens, geslacht, geboortedatum en rijbewijsnummer. Het bedrijf zei dat hackers ook burgerservicenummers en paspoortgegevens van een klein aantal klanten hebben verkregen.
Het is onduidelijk hoeveel mensen getroffen zijn door het datalek, maar MGM Resorts trekt jaarlijks tientallen miljoenen bezoekers. MGM-woordvoerder Andrew Chapman (AndrewChapman) en Brian Ahern (Brian Ahern) weigerden herhaaldelijk vragen over het incident te beantwoorden.
In zijn aanvraag voegde MGM eraan toe dat het niet gelooft dat wachtwoorden van klanten of betalingsgegevens bij de aanval zijn buitgemaakt.
MGM verwacht dat de aanval de winst in het derde kwartaal met ongeveer $100 miljoen zal verminderen, zo blijkt uit documenten van de toezichthouders. MGM zei dat het ook ongeveer $10 miljoen aan eenmalige uitgaven in verband met de cyberaanval heeft uitgegeven, voornamelijk voor technische adviesdiensten, juridische kosten en andere externe adviseurs.
Volgens de Wall Street Journal heeft MGM Resorts International het door de aanvallers geëiste losgeld niet betaald. Het bedrag van het losgeld is onduidelijk en vertegenwoordigers van de Scattered Spider Group gaven geen commentaar. MGM-rivaal Caesars Entertainment, dat onlangs ook werd getroffen door ransomware-aanvallen, zou ongeveer de helft hebben uitbetaald van de $ 30 miljoen die hackers hadden geëist om het lekken van gestolen gegevens te voorkomen. Berichten in de media beweerden dat de ScatteredSpider-groep ook verantwoordelijk was voor de Caesar-cyberaanval, maar de groep beweerde destijds dat zij "niets te maken" had met het incident.
MGM zei dat het verwachtte dat zijn cyberverzekering ‘voldoende’ zou zijn om de financiële impact op zijn activiteiten te dekken, maar merkte op dat ‘de volledige kosten en de daarmee samenhangende impact van deze kwestie nog moeten worden bepaald’. Het bedrijf voegde eraan toe dat er “geen bewijs” was dat de door criminelen verkregen gegevens werden gebruikt voor identiteitsdiefstal of accountfraude.
De MGM-hotelvermeldingen op de dark web-lekwebsite van de ALPHV-ransomwarebende zijn sinds 14 september niet meer bijgewerkt en het lijkt erop dat de hackers geen gegevens hebben vrijgegeven die van de hotelgigant zijn gestolen.
Hoewel MGM beweert dat de cyberaanval ‘volledig onder controle is’ en dat de activiteiten in de resorts van het bedrijf ‘weer normaal zijn’, volgens klachten van klanten op sociale media, functioneren sommige MGM-diensten op het moment van schrijven nog steeds niet, waaronder de mobiele MGM-app.
MGM zei: "Het bedrijf blijft zich concentreren op het herstellen van de resterende getroffen gastgerichte systemen, en het bedrijf verwacht dat deze systemen de komende dagen weer normaal zullen worden."