Una nueva campaña de phishing detectada por Perception Point y reportada por Akamai está siendo dirigida a los usuarios de Booking.com. Esta campaña es un excelente ejemplo de hasta dónde son capaces de llegar los actores de amenazas para conseguir nuestros datos de pago.
Este ataque es un claro ejemplo de los altísimos niveles de riesgo que existen dentro del sector hotelero en este último año. En este caso en el que nos encontramos, los actores de amenazas se aprovechan de hoteles previamente comprometidos con el malware InfoStealer para acceder a la información de reserva de los huéspedes y atacarlos en una posterior campaña de spear phishing.
Cómo nos engañan desde el check-in
La campaña comienza vulnerando las credenciales de un hotel para tomar el control posteriormente de su cuenta oficial de Booking.com.
Tras esta acción, los actores de amenazas realizan un robo de todos los clientes del hotel accediendo a sus datos como son: nombre completo, fechas de reserva, detalles de hotel, o métodos de pago. Esta información será utilizada posteriormente para lanzar la campaña de phishing.
Con los datos obtenidos, los atacantes personalizan las campañas de phishing a los clientes del hotel, estos mensajes están perfectamente diseñados para lograr así la confianza de las víctimas, que mediante ingeniería social se les solicitará nuevamente sus datos de pago como prueba de verificación, con la amenaza de cancelar la reserva si no se realiza esta acción por parte del cliente.
Dentro del mensaje, los atacantes adjuntan un enlace malicioso que lleva a una página web de phishing que resulta prácticamente imposible de detectar como fraudulenta. La web destino dispone ya de los datos del usuario para tratar de engañar al usuario de forma más persuasiva.
La web únicamente dispone en blanco del campo de datos de tarjeta de crédito para ser rellenados por la víctima y así realizar un cargo indebido y además, robar su numeración, incluido el cvv.
El alcance de la estafa se estima en millones de usuarios y dado que Infostealer afectó a compañías de reservas, se observa un panorama muy peligroso para los usuarios de la plataforma.
La política de Booking con sus hoteles asociados es un escenario muy propicio para este tipo de campañas de phishing ya que Booking cobra a los huéspedes según las políticas de cada hotel y se asegura de que antes de entrar hayan pagado el total de la reserva. Si el huésped no proporciona un número válido en la reserva, Booking la cancelará, lo cual hace que el usuario caiga en la trampa de pensar que introdujo sus datos de forma errónea.
Prevenir fraudes por campañas de phishing
Para prevenir este tipo de fraudes podemos realizar varias acciones como usuarios:
- Verificar la URL que nos proporcionan incluso si la cuenta de correo es la lícita.
- Observar detalles en la forma de comunicación, la sensación de urgencia suele ser un factor a tener en cuenta para hacernos sospechar.
- Comunicarse directamente con el establecimiento para comprobar si existe algún problema con el pago.
- Concienciar a los contactos conocidos y estar informado ante este tipo de estafas.
- Supervisar nuestras cuentas bancarias para comprobar que nos hemos recibido un pago no autorizado.
