Os golpistas estão usando suas reservas reais de hotel para enganá-lo com ataques de spear-phishing

“Não diríamos que todas as mensagens de phishing que observámos foram definitivamente causadas por um comprometimento direto dos sistemas internos do próprio hotel”, afirma o investigador. As mensagens de phishing podem ter sido enviadas usando informações de outras violações de dados ou de sistemas não vinculados à indústria de viagens. “O fator comum é que os criminosos estão transformando o contexto real de reserva em uma arma e empurrando os viajantes para uma verificação ou fluxo de pagamento falso”, diz Corrons.

Corrons diz que Norton não conseguiu desvendar totalmente quem pode estar por trás dos ataques, mas diz que as investigações estão em andamento. Aqueles que enviam algumas das mensagens de phishing parecem estar a utilizar kits de phishing concebidos para acelerar e automatizar o processo de envio e recolha de informações, diz ele, e em vários casos foi utilizado o mesmo kit de phishing ou infraestrutura técnica. A empresa não está publicando a lista completa de hotéis e acomodações de férias potencialmente comprometidos, diz Corrons; no entanto, ele diz que a empresa entrou em contacto com a Europol sobre as suas conclusões.

Um porta-voz da Europol recusou-se a comentar, dizendo que não discute a sua actividade operacional.

“Continuamos a fortalecer as nossas defesas para reduzir o risco e limitar as oportunidades para que agentes mal-intencionados atinjam os nossos parceiros de alojamento e os nossos clientes, e estamos a ver resultados”, afirmou um porta-voz da Booking.com.

A Cloudbeds afirma que a empresa não foi violada e que os ataques descritos pelos pesquisadores do Norton são campanhas de phishing de credenciais direcionadas aos funcionários do hotel e depois aos clientes. “A razão pela qual esses golpes são tão eficazes é que o invasor não adivinha: eles sabem exatamente quem é o hóspede, quando ele chega e quanto pagou”, diz Aaron Ownbey, vice-presidente de engenharia da Cloudbeds.

As tentativas de hackear hotéis e usar dados de clientes para lançar ataques de phishing já existem há anos. Em toda a indústria de viagens, os hotéis utilizam frequentemente uma variedade de software de gestão de propriedades ou diferentes sistemas que permitem às pessoas fazer reservas através de empresas terceirizadas. Ao mesmo tempo, a equipe pode gerenciar facilmente os principais detalhes e reservas dos clientes. “A indústria hoteleira precisa aumentar coletivamente a linha de base de segurança – melhor treinamento para a equipe de recepção, adoção mais ampla de autenticação resistente a phishing e controles mais rígidos sobre como os dados dos hóspedes podem ser acessados ​​e exportados de qualquer plataforma”, afirma Ownbey.

É menos provável que os hotéis mais pequenos tenham em vigor as melhores práticas de segurança, como a autenticação multifator para os funcionários, afirma Don Smith, vice-presidente de investigação de ameaças da empresa de segurança Sophos, que trabalhou com empresas do setor de viagens.

Por exemplo, em um incidente tratado pela Sophosum cibercriminoso enviou um e-mail a um hotel dizendo que havia perdido o passaporte durante uma estadia recente. Numa mensagem de acompanhamento, o invasor incluiu um link para uma foto do passaporte; no entanto, quando clicado, ele baixou um arquivo incluindo o Vidar ladrão de informaçõesque pode coletar detalhes de login de um computador infectado. Dias após a implantação do malware, mensagens fraudulentas foram enviadas aos clientes a partir da conta Booking.com do hotel e as pessoas queixavam-se de terem perdido dinheiro.

“Os atores da ameaça adoram o contexto porque o contexto torna a isca de phishing muito mais atraente”, diz Smith. “É muito difícil não simplesmente reagir e clicar em algo para remover um elemento de estresse do que pode ser uma experiência de viagem estressante.”

Corrons, do Norton, diz que a inclusão de informações reais em mensagens de phishing pode tornar mais difícil determinar o que é legítimo e o que é fraude. Em caso de dúvida, diz ele, entre em contato direto com o hotel ou aluguel por temporada por outro meio de contato. “Mesmo que os dados da mensagem sejam reais”, diz ele, “isso não significa que você pode confiar na mensagem”.