Los estafadores están utilizando sus reservas de hotel reales para engañarse con ataques de phishing

"No diríamos que todos los mensajes de pesca que observamos fueron definitivamente causados ​​por un compromiso directo de los sistemas internos del propio hotel", dice el investigador. Los mensajes de pesca podrían haberse enviado utilizando información de otras infracciones de datos o sistemas no vinculados a la industria del viaje. "El factor común es que los delincuentes están armando el contexto de reserva real y empujando a los viajeros a un flujo de verificación o pago falso", dice Corrons.

Corrons dice que Norton no ha podido elegir completamente a quien puede estar detrás de los ataques, pero dice que las investigaciones están en curso. Quienes envían algunos de los mensajes de pesca parecen utilizar kits de pesca diseñados para acelerar y automatizar el proceso de envío y recogida de información, dice, y en varios casos se ha utilizado el mismo kit de pesca o infraestructura técnica. La empresa no publica la lista completa de hoteles y alojamientos de vacaciones potencialmente comprometidos, dice Corrons; sin embargo, dice que la empresa se ha puesto en contacto con Europol sobre sus hallazgos.

Un portavoz de Europol se negó a comentar, diciendo que no habla de su actividad operativa.

"Seguimos reforzando nuestras defensas para reducir el riesgo y limitar las oportunidades de que los malos actores se orienten a nuestros socios de alojamiento ya nuestros clientes, y estamos viendo resultados", dice un portavoz de Booking.com.

Cloudbeds dice que la empresa no se ha infringido y que los ataques descritos por los investigadores de Norton son campañas de pesca de credenciales dirigidas al personal del hotel y después a los clientes. "La razón por la que estas estafas son tan efectivas es que el atacante no adivina: saben exactamente quién es el invitado, cuándo llega y qué han pagado", dice Aaron Ownbey, vicepresidente de ingeniería de Cloudbeds.

Los intentos de piratear hoteles y utilizar los datos de los clientes para lanzar ataques de pesca hace ya años que existen. En la industria de los viajes, los hoteles suelen utilizar una serie de software de gestión de propiedades o sistemas diferentes que permiten a las personas realizar reservas a través de empresas de terceros. Al mismo tiempo, el personal puede manejar fácilmente los datos clave de los clientes y las reservas. "La industria de la hostelería debe elevar colectivamente la línea de base de seguridad: una mejor formación para el personal de recepción, una adopción más amplia de la autenticación resistente a la pesca y controles más estrictos sobre cómo acceder y exportar a los datos de los huéspedes desde cualquier plataforma", dice Ownbey.

Es menos probable que los hoteles más pequeños tengan las mejores prácticas de seguridad, como por ejemplo la autenticación multifactorial para los miembros del personal, dice Don Smith, vicepresidente de investigación de amenazas de la empresa de seguridad Sophos, que ha trabajado con empresas de la industria de los viajes.

Por ejemplo, en un incidente gestionado por Sophos, un cibercriminal envió un correo electrónico a un hotel diciendo que habían perdido el pasaporte durante una estancia reciente. En un mensaje de seguimiento, el atacante incluyó un enlace a una foto del pasaporte; sin embargo, cuando se hizo clic, descargó un archivo que incluye el robo de información Vidar, que puede recoger los datos de inicio de sesión de un ordenador infectado. Días después de la implantación del software malicioso, se habían enviado mensajes fraudulentos a los clientes desde la cuenta de Booking.com del hotel y la gente se quejaba de haber perdido dinero.

"A los actores de amenaza les encanta el contexto porque el contexto hace que un señuelo de pesca sea mucho más convincente", dice Smith. "Es muy difícil no reaccionar y hacer clic en algo para eliminar un elemento de estrés de lo que puede ser una experiencia de viaje estresante".

Corrons, de Norton, dice que la inclusión de información real en los mensajes de pesca puede hacer más difícil determinar qué es legítimo y qué es una estafa. En caso de duda, dice, póngase en contacto directamente con el hotel o el alquiler de vacaciones a través de otro medio de contacto. "Aunque los datos del mensaje sean reales", dice, "esto no significa que pueda confiar en el mensaje".