Betrüger nutzen legitime Hotelbuchungsdaten, um gezielte Phishing-Angriffe zu konstruieren, wie WIRED berichtet. Opfer fallen deutlich eher auf einen Phishing-Angriff herein, wenn eine Nachricht echte Informationen enthält, von denen sie nicht erwarten würden, dass ein Betrüger sie kennt. Laut Forschern von Norton richtet sich diese Phishing-Kampagne gegen Kunden von mindestens 350 Hotels und Ferienunterkünften in 50 Ländern.
Die Phishing-Nachrichten geben sich als Hotelpersonal aus und beziehen sich auf kürzlich getätigte Buchungen eines Nutzers, wobei sie ihm mitteilen, dass er seine Daten verifizieren müsse. Klickt der Nutzer auf den Link, gelangt er auf eine gefälschte Website, die darauf ausgelegt ist, seine Kreditkartendaten zu stehlen.
Wie genau die Angreifer an Informationen über kürzlich getätigte Hotelreservierungen gelangt sind, ist unklar, doch wahrscheinlich stammen sie aus Datenlecks oder der Kompromittierung der Buchungssysteme einzelner Hotels. „Hacker könnten die konkreten Buchungsdaten von Urlaubern aus verschiedenen Quellen beziehen, etwa durch den Zugriff auf Hotelsysteme, nachdem sie diesen Phishing-Nachrichten geschickt haben, oder über Drittanbieter-Buchungsdienste“, schreibt WIRED. „Hacker könnten beispielsweise mit Schadsoftware versehene E-Mails oder Dateien an Hotels senden, um an deren Zugangsdaten zu gelangen, statt Schwachstellen in Systemen auszunutzen, wie es Cyberkriminelle sonst tun.“
Aaron Ownbey, Vice President of Engineering bei Cloudbeds, sagt: „Der Grund, warum diese Betrugsmethoden so wirksam sind, liegt darin, dass der Angreifer nicht rät. Er weiß genau, wer der Hotelgast ist, wann er anreist und was er bezahlt hat. Die Hotelbranche muss das Sicherheitsniveau gemeinsam anheben, durch bessere Schulungen für das Empfangspersonal, eine breitere Einführung phishing-resistenter Authentifizierung und strengere Kontrollen darüber, wie Gästedaten auf jeder Plattform abgerufen und exportiert werden können.“
Nutzer sollten sich bewusst machen, dass Angreifer mitunter an nicht öffentliche, sensible Informationen gelangen können, etwa an Buchungsdaten oder Zahlungsdetails, und diese gezielt einsetzen, um bei einem Social-Engineering-Angriff Vertrauen zu erwecken. Gerade weil eine Nachricht korrekte persönliche Angaben enthält, wirkt sie glaubwürdig und überwindet die natürliche Skepsis des Empfängers.
KnowBe4 unterstützt Ihre Mitarbeitenden dabei, im Arbeitsalltag sicherheitsbewusste Entscheidungen zu treffen. Weltweit setzen über 65.000 Organisationen auf die KnowBe4-Plattform, um ihre Sicherheitskultur zu stärken und sicherheitsbedingte Risiken durch menschliches Verhalten zu verringern.
Hier finden Sie alle Hintergründe: https://www.wired.com/story/hundreds-of-hotels-caught-up-in-vacation-booking-scams/