Scammer nehmen Hotels und ihre Gäste ins Fadenkreuz

Das Bundesamt für Cybersicherheit (BACS) erhält vermehrt Meldungen zu Cyberangriffen auf Hotels und ihre Gäste. Dabei greifen Cyberkriminelle Hotels an, um an die Reservierungsdaten der Gäste zu kommen und diese anschliessend mit Phishing-Angriffen zu plagen. 

Cyberangriff aus Sicht des Hotels

Bei der aktuellen Masche nehmen Cyberkriminelle zunächst Hotels ins Visier. Sie geben sich gemäss Mitteilung des BACS als Gäste des Hotels aus und täuschen diverse Situationen vor, um Angestellte in die Falle zu locken. In einem Beispiel gab ein Betrüger vor, Probleme bei seinem angeblichen Aufenthalt im Hotel gehabt zu haben, die es noch zu lösen gilt. Einzelheiten dazu solle die Hotelfachkraft einem Link entnehmen, der angeblich zu "booking.com" führt. 

In einem anderen Fall behauptete ein Scammer, dass seine Zahlung für das Hotelzimmer gelöscht worden sei, und verleitet die Hotelangestellten, einem Link zum vermeintlichen Buchungsportal zu folgen. Klickt man auf den Link, öffnet sich eine von den Betrügern erstellte Website, die im Hintergrund einen Schadcode lädt. Wer auf dieser Seite den Anweisungen eines ungewöhnlichen Captcha folgt, führt besagten Schadcode auf dem Computer aus. Über die installierte Schadsoftware können Cyberkriminelle dann Zugriff auf das Hotelbuchungssystem und so auf die Reservierungsdaten der Gäste erhalten.

Cyberangriff aus Sicht des Gastes

Haben Scammer erst einmal die Reservierungsdaten der Hotelgäste, beginnt die zweite Phase der Betrugsmasche. Dabei senden die Betrüger SMS oder E-Mails im Namen des Hotels an Gäste und geben vor, wichtige Informationen weiterleiten zu wollen. Für diese sollen potenzielle Opfer einem Link zur angeblichen Buchungsseite folgen und dort dann ihre Kreditkartendaten eingeben.

In einer anderen Variante des Phishing-Betrugs verleiten Cyberkriminelle Hotelgäste dazu, auf einen vermeintlichen Link zu "booking.com" zu klicken, um eine Buchung zu bestätigen. Auf der Seite werden Hotelgäste dann dazu angehalten, 2000 Franken innerhalb 48 Stunden an eine ausländische IBAN zu überweisen und den Beleg anschliessend auf dem Portal hochzuladen. Geschehe dies nicht, würde die Buchung verfallen.

Schutzmassnahmen

Um sich vor solchen Betrugsversuchen zu schützen, sollten Hotelgäste ihre Passwörter und Kreditkartendaten niemals auf Websites angeben, die über Links aus E-Mails oder SMS geöffnet wurden. Das BACS versichert, dass keine Bank, kein Kreditkarteninstitut und auch kein Hotel je in E-Mails verlangen wird, solche sensiblen Daten zu verifizieren.

Hotelangestellte sollten unter keinen Umständen ausführbare Dateien auf ihren Buchungssystemen öffnen und Programme nur aus verlässlichen Quellen herunterladen. Auch bei ungewöhnlichen Captchas sei Vorsicht geboten. Für Hotels sei es ausserdem wichtig, ihre Systeme auf den neuesten Stand zu bringen und eine Strategie für Gästekommunikation zu entwickeln, die auch ohne Verbindung des Computers zum restlichen Netz funktioniert.

Betrüger versuchen mittlerweile die Emotionen potenzieller Opfer auszunutzen, um an sensible Daten zu gelangen. Die Schweizerische Kriminalprävention startet deswegen eine Online-Kampagne mit dem Motto "Romance Scam. Wahre Liebe kostet nichts", welche über Liebesbetrug im Internet aufklären soll. Lesen Sie hier die Details.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.