Bitdefender rivela oggi i dettagli di due campagne di phishing che prendono di mira direttamente hotel e strutture ricettive, sfruttando le comunicazioni quotidiane con gli ospiti come esca. Una delle campagne si spaccia per un potenziale cliente che dichiara di non riuscire a completare una prenotazione online; l’altra imita le notifiche di Booking.com e culmina in un attacco ClickFix, inducendo i dipendenti della struttura a eseguire un comando dannoso sui propri computer.
In questi casi, quindi, non sono i viaggiatori a essere direttamente nel mirino: sono le strutture che li ospitano. L’obiettivo dei cybercriminali è infatti compromettere i sistemi utilizzati dagli hotel e accedere potenzialmente agli account delle piattaforme di prenotazione e ai dati degli ospiti. Le campagne prendono di mira il personale degli hotel, facendo leva su richieste del tutto plausibili e che gli operatori gestiscono quotidianamente: problemi con le prenotazioni, cancellazioni, richieste di fatture, domande sulle allergie e necessità di assistenza o accessibilità per gli ospiti anziani. Durante l’alta stagione, quando il volume delle richieste aumenta e il tempo per verificarle si riduce, distinguere una comunicazione autentica da una sofisticata esca di phishing può diventare ancora più difficile.
Due campagne, un unico obiettivo: ingannare il personale
La prima campagna si spaccia per un potenziale ospite che sostiene che il sito web dell’hotel non consenta di completare la prenotazione. Il messaggio indirizza quindi il dipendente verso un sito esterno che, secondo quanto dichiarato, conterrebbe i dati identificativi e quelli della carta di credito dell’ospite.
La seconda campagna imita le notifiche di Booking.com relative a messaggi degli ospiti, cancellazioni, richieste di fatture e necessità di assistenza speciale. Cliccando sui link, il personale viene indirizzato verso una falsa pagina di verifica di Booking.com con un CAPTCHA contraffatto, che lo invita a premere Windows + R, incollare un comando e premere Invio. In questo modo viene eseguito un comando PowerShell che scarica malware sul dispositivo.
La tecnica utilizzata è nota come ClickFix e presenta un elemento particolarmente insidioso: non sfrutta alcuna vulnerabilità del software. È infatti il dipendente stesso, ingannato dalla falsa procedura di verifica, a eseguire il comando dannoso. Questo dimostra come la protezione dei sistemi e l’installazione delle patch, pur essendo fondamentali, non siano da sole sufficienti a prevenire questo tipo di attacco.
Gli attacchi sono stati rilevati soprattutto nel Regno Unito e in Svizzera, con ulteriori attività negli Stati Uniti, in Vietnam, in Italia e in Irlanda.
I segnali a cui prestare attenzione
Alcuni dettagli apparentemente insignificanti possono aiutare il personale a identificare una comunicazione fraudolenta. Alcune delle notifiche contraffatte, ad esempio, riportano una data di check-out precedente a quella di check-in, un’incongruenza che può rappresentare un importante campanello d’allarme.
ClickFix può inoltre essere utilizzato per installare diversi tipi di malware, mettendo a rischio le credenziali delle piattaforme di prenotazione, i dati degli ospiti e, potenzialmente, la sicurezza dell’intera rete dell’hotel.
Il fattore umano al centro della sicurezza
Le campagne individuate da Bitdefender mostrano come i cybercriminali stiano sfruttando la pressione dell’alta stagione e la familiarità delle comunicazioni quotidiane per rendere i propri attacchi più credibili. Una richiesta apparentemente innocua, ricevuta in una casella di posta che ogni giorno gestisce decine di comunicazioni simili, può diventare così il punto di partenza di un attacco molto più ampio.
Per gli hotel, questo significa che la cybersecurity non può limitarsi alla protezione tecnologica. Formazione del personale, attenzione ai segnali sospetti e procedure chiare per verificare le richieste anomale sono altrettanto importanti per ridurre il rischio.
La ricerca completa di Bitdefender, con tutti i dettagli sulle campagne e sulle tecniche utilizzate dai cybercriminali, è disponibile qui.
