Данные туристов похищены из сотен отелей по всему миру: киберпреступники используют их для фишинга

Сотни отелей по всему миру могли стать жертвами киберпреступников, которые похитили данные путешественников и информацию о бронированиях. Эти сведения, включая имена и детали резерваций, используются для создания целевых фишинговых сообщений, цель которых — выманить данные банковских карт.

Масштабы и цели атак

По данным анализа фишинговых сообщений и инфраструктуры киберпреступников, проведенного компанией Norton, не менее 350 отелей, курортных апартаментов, мотелей и гостевых домов в 50 странах стали участниками схем по перехвату бронирований. Исследователи отмечают, что использование подлинных данных о резервациях в фишинговых сообщениях значительно повышает вероятность того, что пользователи перейдут по вредоносной ссылке и раскроют конфиденциальную информацию.

Луис Корронс, возглавлявший исследование материнской компании Norton — Gen, назвал эти атаки «очень целевыми». Он пояснил, что фишинговые сайты, проанализированные компанией, содержали названия отелей, различные цены для каждой жертвы, а также конкретные даты заезда и выезда. Это позволяет злоумышленникам применять так называемый целевой фишинг, направленный на конкретную жертву с использованием реальных деталей ее бронирования.

Согласно анализу данных, наибольшее число потенциально скомпрометированных отелей оказалось в Германии, за которой следуют Франция, Великобритания, Италия, Испания и США. Исследователи подсчитали, что 350 упомянутых в мошеннических SMS, сообщениях WhatsApp* и электронных письмах объектов размещения способны одновременно принять около 80 000 гостей. По словам Корронса, большинство из них — это малые и средние отели.

Эволюция фишинга

Хотя попытки взломать гостиничные системы для получения клиентских данных предпринимались и ранее, новые выводы появляются на фоне постоянного развития киберпреступниками услуг «фишинг как услуга». Это программное обеспечение позволяет им ежемесячно рассылать миллионы мошеннических сообщений, имитируя десятки известных мировых брендов и постоянно добавляя новые приманки для перехода по вредоносным ссылкам. По данным ФБР США, опубликованным недавно, в прошлом году американцы потеряли более 200 миллионов долларов США из-за успешных фишинговых атак.

Компания Norton начала расследование мошенничества, связанного с отелями, в декабре, после обнаружения правдоподобного фишингового сообщения. Сообщение, отправленное через WhatsApp* от имени сайта бронирования Booking.com, содержало информацию о конкретном отеле и датах предстоящей брони, а затем предлагало пользователю перейти по ссылке для подтверждения своих данных. Ссылка вела на поддельный веб-сайт с чат-ботом, который мгновенно передавал введенные сведения, например, данные банковских карт, хакерам.

Источники утечек и методы атак

Хакеры могут получать специфические данные о бронированиях из различных источников, включая доступ к гостиничным системам после рассылки им фишинговых сообщений или через сторонние сервисы бронирования. Например, злоумышленники могут отправлять отелям электронные письма или файлы, содержащие вредоносное ПО, пытаясь получить их учетные данные, вместо того чтобы искать уязвимости в системах. В предыдущем исследовании Norton, опубликованном в марте, упоминались как Booking.com, так и система управления отелями CloudBeds. Корронс сообщил, что исследователям удалось получить некоторые из сообщений, которые сотрудники отелей получали в рамках фишинговых атак.

Исследователи подчеркивают, что не все обнаруженные фишинговые сообщения были однозначно вызваны прямым взломом внутренних систем отелей. Данные для фишинговых рассылок могли быть получены в результате других утечек или из систем, не связанных с туристической индустрией. Общим фактором, по словам Корронса, является то, что преступники используют реальный контекст бронирования, чтобы заманить путешественников в фальшивый процесс верификации или оплаты.

Расследование и рекомендации

Корронс из Norton сообщил, что компании пока не удалось полностью установить личности организаторов атак, но расследование продолжается. Отправители фишинговых сообщений, по его словам, используют специальные "фишинговые наборы", разработанные для автоматизации процесса рассылки и сбора информации, причем в нескольких случаях применялись одни и те же наборы или техническая инфраструктура. Полный список потенциально скомпрометированных отелей и мест отдыха не публикуется, однако компания Norton связывалась с Европолом по поводу своих находок. Представитель Европола отказался от комментариев, сославшись на то, что организация не обсуждает свою оперативную деятельность.

Представитель Booking.com заявил: «Мы продолжаем укреплять нашу защиту для снижения рисков и ограничения возможностей злоумышленников атаковать наших партнеров по размещению и наших клиентов, и мы видим результаты».

В Cloudbeds заявили, что их компания не была взломана, а атаки, описанные исследователями Norton, представляют собой фишинговые кампании, направленные на получение учетных данных сотрудников отелей, а затем и клиентов. Аарон Оунби, вице-президент по инженерии Cloudbeds, объяснил: «Эти мошеннические схемы так эффективны, потому что злоумышленник не действует наугад: он точно знает, кто гость, когда он прибывает и сколько он заплатил».

Попытки взломать отели и использовать данные клиентов для фишинговых атак существуют уже давно. В туристической индустрии отели часто используют разнообразное программное обеспечение для управления собственностью или различные системы, позволяющие бронировать места через сторонние компании. При этом персонал может легко управлять ключевыми клиентскими данными и бронированиями. Оунби из Cloudbeds считает, что индустрия гостеприимства должна коллективно повысить уровень безопасности: улучшить обучение сотрудников ресепшена, шире внедрять устойчивую к фишингу аутентификацию и усилить контроль над тем, как данные гостей могут быть доступны и экспортированы с любой платформы.

Дон Смит, вице-президент по исследованию угроз в компании Sophos, работающей с предприятиями туриндустрии, отмечает, что небольшие отели с меньшей вероятностью применяют передовые методы обеспечения безопасности, такие как многофакторная аутентификация для сотрудников. В качестве примера Sophos привела инцидент, когда киберпреступник отправил отелю электронное письмо, утверждая, что потерял паспорт во время недавнего пребывания. В последующем сообщении злоумышленник прикрепил ссылку на фотографию паспорта; однако при клике на нее загружался файл, содержащий вредоносное ПО Vidar, способное собирать учетные данные с зараженного компьютера. Через несколько дней после развертывания вредоноса клиентам отеля начали поступать мошеннические сообщения с его аккаунта Booking.com, а люди жаловались на потерю денег.

Смит подчеркнул, что злоумышленники ценят контекст, поскольку он делает фишинговую приманку гораздо более убедительной. «Очень трудно не отреагировать и просто не кликнуть по ссылке, чтобы снять хотя бы один элемент стресса из потенциально напряженного путешествия», — добавил он. Корронс из Norton отмечает, что наличие реальной информации в фишинговых сообщениях затрудняет определение их подлинности. В случае сомнений он рекомендует напрямую связаться с отелем или местом отдыха по другому каналу связи. «Даже если данные в сообщении реальны, это не означает, что вы можете доверять самому сообщению», — заключил эксперт.

* — деятельность компании запрещена на территории РФ