Booking.com potwierdził, że w wyniku incydentu nieuprawnione osoby mogły uzyskać dostęp do danych powiązanych z częścią rezerwacji, w tym nazwisk, adresów e-mail, numerów telefonów oraz szczegółów pobytu. Firma twierdzi, że dane finansowe nie zostały naruszone, ale sam zakres przejętych informacji istotnie zwiększa ryzyko oszustw podszywających się pod hotel lub obsługę rezerwacji.
W wiadomościach wysyłanych do klientów platforma informowała, że „zauważyliśmy podejrzaną aktywność dotyczącą części rezerwacji”, po czym zaktualizowała PIN-y przypisane do objętych incydentem rezerwacji. Booking nie ujawnia na razie, jak duża jest skala naruszenia.
Badacze Gen Digital opisują ten model jako „oszustwo polegające na przejęciu rezerwacji”, czyli oszustwo oparte nie na przypadkowym phishingu, lecz na wykorzystaniu prawdziwego kontekstu rezerwacji. Jak piszą, gdy wiadomość zawiera realne szczegóły pobytu, „to przestaje wyglądać jak próba oszustwa, a zaczyna jak rutynowy kontakt ze strony obsługi klienta”. To właśnie dlatego tego typu ataki są dla gości znacznie trudniejsze do wychwycenia.
Do tej pory podobne schematy często zaczynały się od przejęcia kont hotelu lub danych pracowników i wykorzystywania prawdziwych narzędzi komunikacyjnych obiektu. W analizowanych przez Gen przypadkach napastnicy po wyłudzeniu danych logowania uzyskiwali dostęp do hotelowych systemów, danych rezerwacyjnych i kanałów kontaktu z gośćmi.
Sam Booking przypomina w swoich materiałach bezpieczeństwa, że żadna legalna transakcja ani zmiana rezerwacji nie wymaga podawania danych karty przez telefon, SMS czy e-mail.
Dodaj komentarz