Nylige hændelser har afsløret, at trods håndtering af følsomme oplysninger, er hoteller og den bredere hotel industri meget åbne overfor sikkerhedsbrud.
Eksempler på brud i datasikkerheden for hoteller, inkluderer bla. cyberangrebene på den store hotel koncern MGM Hotels i både 2022 og 2023, samt social engineering-angrebet på Marriott koncernen.
I øjeblikket er en sofistikeret infostealer-kampagne rettet mod hoteller, rejsebureauer og deres lånere ved hjælp af avancerede social engineering-teknikker, ifølge nyere forskning.
Den indviklede angrebsstrategi
Forskere fra Perception Point har afdækket en unik infostealer malware-kampagne, der er skræddersyet specifikt til gæstfrihedssektoren. Angrebet starter med, at en trusselsaktør laver en standard hotelreservation og afventer bekræftelsesmailen.
Efterfølgende svarer angriberen på bekræftelses-e-mailen med en besked, som kan spænde fra en forespørgsel om en ny reservation til en henvisning til en eksisterende, ofte med personlige berøringer som f.eks. at nævne familiemedlemmer, der kan være med på 'turen'. Efter at have modtaget et svar, laver angriberen en e-mail, der er designet til at fremkalde empati og haster, og refererer til scenarier som en søn med svær allergi eller ældre forældre, der søger udskrevne billeder under deres ophold.
Vedlagt i denne e-mail er et link, der ser ud til at føre til adgangskodebeskyttede dokumenter, der er relevante for den presserende anmodning. Dette link leder dog til en arkivfil. Når den downloades og åbnes, frigiver den Infostealer-malware, der infiltrerer ofrets system og udtrækker følsomme data. Navnlig er dette en omhyggeligt orkestreret spyd-phishing-kampagne, der involverer følelsesmæssig manipulation, kulminerende i avancerede infostealer-eksekverbare programmer, der unddrager sig opdagelse.
Udvidelse af angrebsfladen
Ud over hotellet kan angribere udvide deres rækkevidde til kunder. Akamai-forskere rapporterer, at overfaldsmænd gennem et inficeret hotel kan kommunikere med kunder ved at bruge tilsyneladende legitime kanaler, sende svigagtige phishing-links til direkte at stjæle kundeoplysninger og effektivt udføre et forsyningskædeangreb.
Styrkelse af cybersikkerhed
I området for cybersikkerhed forbliver mennesker det sårbare led. Cyberkriminelle udnytter dygtigt etos, patos og logoer til at fremme deres mål. Bevidsthed og en kritisk vurdering af indhold kan dog tjene som potente skjolde mod e-mail, medier og andre angreb.
Årvågenhed er afgørende: Undlad at klikke på tilfældige eller uopfordrede links, udvis forsigtighed med alle URL'er, og opret direkte kontakt med virksomheder gennem pålidelige midler, såsom telefon eller alternativ e-mail, uafhængigt af den kanal, der bruges til beskeder eller anmodninger.
Selvom det bliver mere udfordrende at skelne mellem virkelighed og bedrag, behøver phishing-trusler med omhyggelig undersøgelse og forsigtighed ikke være et problem.
Comments