Dane gości obiektów noclegowych korzystających z systemu Hotres miały trafić w ręce przestępców – podał "Niebezpiecznik". Według serwisu chodzi m.in. o imiona i nazwiska, adresy e-mail, numery telefonów, daty pobytu oraz kwoty rezerwacji. Dane są już wykorzystywane do wysyłania do gości fałszywych wiadomości z linkami do płatności.
Niebezpiecznik poinformował 3 lipca, że doszło do włamania do systemu Hotres, wykorzystywanego przez obiekty noclegowe do obsługi i zarządzania rezerwacjami. Według serwisu problem dotyczy wielu polskich hoteli i innych obiektów noclegowych, a skala incydentu nie jest jeszcze znana.
Z informacji przytoczonych przez "Niebezpiecznik" wynika, że goście otrzymują wiadomości, m.in. przez WhatsApp, zawierające szczegóły ich rezerwacji oraz link do rzekomej płatności. Wiadomości mogą wyglądać wiarygodnie, ponieważ przestępcy mają dysponować konkretnymi danymi dotyczącymi pobytu.
Według Niebezpiecznika firma Hotres miała najpierw poinformować obiekty o „naruszeniu ochrony danych osobowych w systemie Hotres” o nieznanej skali, a następnie przekazać, że do kradzieży danych doszło poprzez SQL injection. Serwis podaje, że wykradzione dane obejmują: imię i nazwisko gościa, adres e-mail, numer telefonu, daty pobytu oraz kwotę pobytu.
Obiekty korzystające z Hotres powinny ustalić, czy incydent dotyczy ich rezerwacji, zabezpieczyć komunikację z gośćmi i ocenić, czy powstał obowiązek zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych. Zgodnie z zasadami RODO administrator danych powinien zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Do sprawdzenia są przede wszystkim zakres danych przetwarzanych przez Hotres dla danego obiektu, liczba potencjalnie objętych rezerwacji, treść komunikatów otrzymanych od dostawcy systemu, przypadki zgłoszeń od gości oraz sposób dokumentowania oceny ryzyka.
Jeżeli goście zaczęli otrzymywać wiadomości z prośbą o dopłatę, ponowną płatność, gwarancję rezerwacji albo podanie danych karty, hotel powinien jasno poinformować, że takich płatności nie należy realizować przez linki z wiadomości e-mail, SMS lub komunikatorów. Najbezpieczniejszą ścieżką jest potwierdzanie każdej prośby o płatność bezpośrednio z obiektem, przez oficjalny numer telefonu lub adres e-mail.
Na moment publikacji "Niebezpiecznik" podawał, że nie wiadomo, ile rekordów zostało pobranych. Serwis zwrócił się do Hotres z pytaniem o skalę wycieku i zapowiedział aktualizację po otrzymaniu odpowiedzi.
Dodaj komentarz