La empresa de ciberseguridad Kaspersky descubrió un nuevo esquema de fraudes dirigido a propietarios y personal de hoteles. El objetivo es el robo de credenciales y la infección de computadoras con malware, según señaló la compañía a través de un comunicado.
“Los ciberdelincuentes se hacen pasar por antiguos o potenciales huéspedes, aprovechándose de los esfuerzos del servicio al cliente de la industria”.
Kaspersky
[TE RECOMENDAMOS: Alertan por estafas dirigidas a fans de los Juegos Olímpicos: boletos falsos y páginas maliciosas]
¿Cómo funciona el esquema de fraudes a hoteles?
Los atacantes se presentan como representantes de Booking.com y envían mensajes al hotel a través de correo electrónico, planteando dudas o quejas no respondidas, según los expertos en ciberseguridad.
“Estos correos, que parecen rutinarios para el personal, en realidad buscan engañar a los empleados para que proporcionen sus credenciales de acceso o descarguen malware“, señala Kaspersky.
El personal hotelero suele responder rápidamente a estos correos electrónicos. Por la premura, se incrementa la probabilidad de que los colaboradores sean víctimas al hacer clic en enlaces maliciosos o abrir archivos adjuntos dañinos.
Los cibercriminales usan servicios de correo electrónico gratuitos, como Gmail, ya que es usado frecuentemente por los usuarios. Esto dificulta que el personal del hotel distinga los mensajes legítimos de los maliciosos.
Así atacan los cibercriminales al personal hotelero
Con estos correos electrónicos es incitar al personal a hacer clic en enlaces o descargar archivos que contienen malware, de acuerdo con los expertos en materia de ciberseguridad de Kaspersky.
En algunos casos, los ciberdelincuentes no incluyen el link malicioso en su primer email, sino inician una conversación aparentemente inofensiva con preguntas breves sobre las condiciones de alojamiento del hotel.
En este sentido, la estafa utiliza dos temáticas diferentes, de acuerdo con el portal de seguridad informática:
- Aborda quejas de antiguos huéspedes, quienes describen experiencias negativas como malos tratos del personal o habitaciones con inconvenientes de limpieza.
- Los atacantes adjuntan material audiovisual para incitar al personal a acceder a los enlaces o abrir archivos adjuntos que contienen malware.
- Los ciberdelincuentes se hacen pasar por un posible huésped y envían emails con preguntas sobre las condiciones de alojamiento, tales como:
- Beneficios
- Costos
- Fechas disponibles
- Solicitudes de asesoría al personal para mejorar su experiencia de viaje
Una vez que se ganan la confianza de la víctima, los cibercriminales comparten enlaces de phishing que llevan a páginas que imitan el formulario de inicio de sesión de Booking.com.
Otras veces, la página de phishing parece un formulario para ingresar credenciales corporativas. Si los atacantes logran usarlas para acceder a cuentas de correo electrónico empresariales, pueden secuestrar la cuenta de Booking.com asociada o contactar a los clientes haciéndose pasar por el hotel.
[TE PODRÍA INTERESAR: “RockYou2024”: la filtración más grande de la historia con 10 mil millones de contraseñas robadas: ¿cómo protegerte?]
¿Por qué este esquema afecta a los hoteles?
Los atacantes aprovechan los aspectos vulnerables de un negocio para defraudarlo, según Anna Lazaricheva, analista de spam en Kaspersky. En el caso de la industria hotelera, abusan del servicio de hospitalidad en los hoteles.
“En la industria hotelera, se aprovechan del servicio al cliente que se esfuerza por sobresalir y proporcionar una mejor experiencia”.
Anna Lazaricheva, analista de spam en Kaspersky
Al imitar consultas o quejas de huéspedes, manipulan el compromiso del personal para resolver problemas rápidamente, aumentando así la probabilidad de caer en esquemas fraudulentos, según la especialista.
¿Cómo pueden los hoteles evitar cualquier esquema fraudulento?
“Para protegerse, las empresas deben implementar sistemas robustos de filtrado de correo electrónico y proporcionar una frecuente capacitación a los empleados sobre el reconocimiento de mensajes maliciosos”, según Anna Lazaricheva.
Por otro lado, recomienda a los hoteles establecer protocolos para verificar la autenticidad de las solicitudes urgentes antes de responder. Estos son los consejos de Kaspersky al respecto.
- Proporcionar al personal una formación básica en higiene de ciberseguridad.
- Por ejemplo, simular un ataque de phishing podría enseñar a los empleados cómo distinguir los correos electrónicos con enlaces phishing.
- Implementar soluciones de protección para servidores de correo con capacidades anti-phishing, lo que disminuirá la posibilidad de infección a través de un correo electrónico con esta amenaza.
- Utilizar una herramienta de protección para endpoints y servidores de correo con capacidades anti-phishing.
- Proteger los servicios en la nube como Microsoft 365.
- Utilizar herramientas ligeras y fáciles de gestionar, pero aún efectivas.
- Encontrar una solución dedicada para pequeñas y medianas empresas con gestión simple y características de protección comprobadas.
Fuente: Kaspersky
Los expertos enfatizan la importancia de la prevención, pues los correos maliciosos emulan entidades confiables y utilizan tácticas sofisticadas de ingeniería social. Como consecuencia, los usuarios divulgan información sensible o interactúan con enlaces maliciosos.
