Având în vedere că în scurt timp vine vacanța de iarnă, în care este posibil să călătorești în afara țării, te avertizăm asupra unui pericol semnalat de cercetătorii de la Kaspersky, care au studiat campania RevengeHotels, ce vizează industria ospitalității. Rezultatele studiului au confirmat că peste 20 de hoteluri din America Latină, Europa și Asia au căzut victime ale unor atacuri malware direcționate. Este posibil ca un număr mai mare de hoteluri să fie afectate pe tot globul. Datele cardurilor turiștilor, stocate într-un sistem de administrare hotelieră, inclusiv cele primite de la agenții online de turism (OTA), riscă să fie furate și vândute infractorilor din întreaga lume.
Cum funcționează atacul?
RevengeHotels este o campanie a diferite grupuri care utilizează troieni tradiționali cu acces de la distanță (RAT) pentru a infecta companiile din sectorul ospitalității. Campania este activă din 2015, dar a devenit mult mai prezentă în 2019. Cel puțin două grupuri, RevengeHotels și ProCC, au fost identificate ca făcând parte din campanie, cu toate că există posibilitatea ca mai multe grupuri de infractori cibernetici să fie implicate.
Principalul vector de atac din această campanie este reprezentat de e-mail-uri cu documente infectate – Word, Excel sau PDF. Unele dintre ele exploatează vulnerabilitatea CVE-2017-0199, încărcând-o cu ajutorul script-urilor VBS și PowerShell și apoi instalează versiuni personalizate ale diferitelor RAT-uri, precum și alte programe malware personalizate, cum ar fi ProCC, pe dispozitivul victimei, care ulterior ar putea executa comenzi și configura accesul de la distanță la sistemele infectate.
Fiecare e-mail de spear-phishing a fost elaborat cu o atenție deosebită asupra detaliilor și, de obicei, pretinde a veni din partea unor persoane reale din organizații legitime, făcând o cerere de rezervare falsă pentru un grup numeros. De remarcat este faptul că inclusiv utilizatorii atenți ar putea fi păcăliți să deschidă și să descarce anexele din aceste e-mailuri, deoarece includ o mulțime de detalii (de exemplu, copii ale documentelor legale și motivația pentru care fac rezervarea la hotel) și arată convingător. Singurul detaliu care l-ar da de gol pe atacator ar fi un domeniu de typosquatting al organizației. Domeniile de typosquatting le imită foarte convingător pe cele reale, dar au o denumire in care există o greșeală de tastare intenționată sau au termeni convingători adaugați.
Ce poți păți?
Odată infectat, computerul putea fi accesat de la distanță nu doar de grupul de infractori cibernetici – dovezile colectate de cercetătorii Kaspersky arată că accesul de la distanță la recepțiile hotelurilor și la datele pe care le conțin sunt vândute pe forumuri ilegale, pe bază de abonament. Programele malware au colectat date din fișele hotelurilor, din programele de imprimantă și au făcut capturi de ecran (această funcție a fost declanșată folosind anumite cuvinte în engleză sau portugheză). Deoarece personalul hotelului a copiat de multe ori datele cardului de credit ale clienților din OTA pentru a factura, aceste date ar putea fi, de asemenea, compromise.
Telemetria Kaspersky a confirmat existența unor ținte în Argentina, Bolivia, Brazilia, Chile, Costa Rica, Franța, Italia, Mexic, Portugalia, Spania, Thailanda și Turcia. În plus, pe baza datelor extrase din Bit.ly, un serviciu popular de scurtare a link-urilor, utilizat de atacatori pentru a răspândi link-uri periculoase, cercetătorii Kaspersky presupun că utilizatorii din multe alte țări au accesat, cel puțin, link-ul periculos, sugerând că numărul de țări cu posibile victime ar putea fi mai mare.
„Pe măsură ce utilizatorii devin mai precauți în legătură cu cât de protejate sunt cu adevărat datele lor, infractorii cibernetici se îndreaptă către afacerile mici, care adesea nu au o protecție foarte bună împotriva atacurilor cibernetice și dețin numeroase date cu caracter personal”, explică Dmitry Bestuzhev, Head of Global Research and Analysis Team, America Latină. „Hotelierii și reprezentanții altor firme mici care se ocupă cu datele clienților trebuie să fie mai precauți și să aplice soluții personalizate de securitate pentru a evita scurgerile de date care ar putea să afecteze nu doar clienții, ci și reputația hotelului.”
Cum te-ai putea proteja?
Pentru a rămâne în siguranță, specialiștii de la Kaspersky îi sfătuiesc pe turiști să utilizeze un card de plată virtual pentru rezervările efectuate prin OTA, deoarece aceste carduri expiră, în mod normal, după o singură tranzacție. De asemenea, atunci când plătesc o rezervare sau fac check out la recepția hotelului, turiștii ar face bine să utilizeze un portofel virtual, cum ar fi Apple Pay sau Google Pay, sau un card de credit secundar, cu o sumă limitată de bani disponibili.
Din perspectiva proprietarilor și managerilor de hoteluri, există o serie de pași de urmat pentru securizarea datelor clienților.
În primul rând, este recomandabilă efectuarea unei evaluări de risc pentru rețeaua existentă și implementarea unor reglementări privind modul în care sunt gestionate datele clienților. În plus, este oportună utilizarea unei soluții de securitate fiabilă, cu funcții de protecție web și controlul aplicațiilor. Protecția web ajută la blocarea accesului la site-urile de phishing și la cele infectate, în timp ce controlul aplicațiilor (în modul „white list”) permite administratorilor rețelelor din hoteluri să se asigure că nicio aplicație, cu excepția celor aprobate, nu poate rula pe computerele din respectivele rețele.
Un alt sfat bun de urmat ar fi antrenarea personalului hotelier în cadrul unor training-uri de awareness în domeniul securității cibernetice, cu scopul de a-i învăța să detecteze tentativele de spear-phishing și de a le arăta importanța de a rămâne foarte atenți atunci când lucrează cu e-mail-urile primite.
Pentru mai multe detalii, poți citi raportul complet, RevengeHotels: cybercrime targeting hotel desks worldwide, pe Securelist.
