Vermehrte Cyber-Angriffe auf Hotels und Gäste

Hotels und ihre Gäste geraten immer wieder ins Visier von Cyber-Kriminellen. Das Bundesamt für Cybersicherheit (BACS) in der Schweiz hat in den letzten Tagen wieder diesbezügliche Meldungen erhalten und schlägt Hotels und Gästen Sicherheitsmaßnahmen vor.

Das BACS berichtet, dass bei den betroffenen Hotels, die Opfer eines Cyberangriffs geworden sind, die Angreifer hatten meist Zugriff auf die Reservierungsdaten erlangen würden.

Meldungen zu gezielten Phishing-E-Mails an die Hotelgäste, die beim BACS eingingen, ließen nur einen Schluss zu: Die betroffenen Hotels seien Opfer eines Cyberangriffs geworden.

Dabei konnten die Angreifer auf sensible Reservierungsdaten zugreifen – eine ernste Bedrohung für die betroffenen Hotels und deren Gäste. In den E-Mails und Textnachrichten an die Hotelgäste heisst es meist, dass bei der Buchung etwas schief gelaufen sei und man sich noch einmal anmelden und die Kreditkartendaten eingeben müsse. In einem weiteren Fall wurden Hotelgäste gebeten, eine Zahlung von über CHF 2000 auf eine ausländische IBAN zu tätigen und den Beleg als Beweis an das vermeintliche Hotelportal zu senden. Anhand von aktuellen Beispielen zeigt dieser Wochenrückblick sowohl die Angriffsmuster aus Sicht des Hotels als auch aus Sicht des Gastes.

Der Cyberangriff aus der Perspektive des Hotels

Um die Angestellten eines Hotels zur Installation einer Schadsoftware zu verleiten, geben sich die Angreifer als Gast aus und täuschen verschiedene Situationen vor. In einem Fall wurde vom vermeintlichen Gast beispielsweise behauptet, dass es während des Hotelaufenthaltes Probleme gegeben habe, die noch nicht gelöst worden seien. Einzelheiten seien auf der Buchungsplattform «booking.com» hinterlegt. In einem anderen Fall behaupteten die Angreifer, dass zwar eine Zahlung für das Hotelzimmer erfolgt sei, diese jedoch anschließend wieder gelöscht worden sei und das Hotel nun unbedingt bei der Lösung des Vorfalls behilflich sein müsse. Auch hier wird angeblich ein Link zum Buchungsportal angegeben. Beim Anklicken des Links öffnet sich jedoch nicht «booking.com», sondern das Hotel wird auf eine völlig andere, von den Betrügern erstellte Seite weitergeleitet.

Nach dem Anklicken des Links wird aber nicht sofort die Seite geöffnet. Zuerst erscheint ein sogenanntes Captcha bei dem man beweisen soll, dass man ein Mensch und kein Roboter ist. Solche Captchas werden mittlerweile zum Schutz bei vielen Webseiten eingesetzt und sind somit nicht unüblich. Meist geht es um Rechenaufgaben, die gelöst oder um Gegenstände, die zugeordnet werden müssen. In diesem Fall soll allerdings die Windows-Taste und die R-Taste gedrückt werden. Anschließend soll man gleichzeitig die Taste «Control» und die «V»-Taste drücken und das Ganze mit der Taste «Enter» bestätigen.

Befolgt man diese Anweisung, wird der Computer mit hoher Wahrscheinlichkeit mit Schadsoftware infiziert. Wir haben dieses Vorgehen bereits bei der Malware Lumma Stealer beobachtet und in einem Wochenrückblick beschrieben. Beim Laden der Seite wird ein Schadcode automatisch in den Zwischenspeicher kopiert und mit der oben beschriebenen Tastenkombination auf dem betroffenen Computer ausgeführt. So wird die Schadsoftware heruntergeladen und auf dem betroffenen Gerät installiert. Handelt es sich dabei um einen Computer, der Zugriff auf das Hotelbuchungssystem hat, verfügen die Angreifer nun über alle notwendigen Daten, um die Gäste anzugreifen.

Der Cyberangriff aus der Perspektive des Gastes

Das BACS hat in den vergangenen Wochen verschiedene Varianten von Phishing-Angriffen auf Hotelgäste mit unterschiedlicher Qualität beobachtet. Bei einer Variante sendeten die Angreifer eine einfache SMS mit einer korrekten Anrede, einem Link und dem Hinweis, dass es sich um eine wichtige Information des Hotels handle. Klickt das Opfer auf den Link, öffnet sich eine Buchungsseite im Stil eines Hotels. Dort wird die Eingabe der Kreditkartendaten verlangt.

In einer anderen Variante erhielt das Opfer eine E-Mail vom Hotel mit einem Link zu einem täuschend echt imitierten Buchungsportal von «booking.com». Um die Buchung zu bestätigen, sollte das Opfer über CHF 2000 auf eine IBAN überweisen und anschließend den Zahlungsbeleg auf das Portal hochladen. Verdächtig ist neben der ungewöhnlichen Zahlungsmodalität auch die Tatsache, dass es sich nicht um eine schweizer, sondern um eine ausländische IBAN handelt. Die Täter setzen das Opfer zudem unter Druck, man habe 48 Stunden Zeit, sonst verfalle die Reservierung. Dies ist ein typischer Trick, das Opfer mit einem Zeitlimit unter Druck zu setzen und so zu verhindern, dass Zweifel an der Vorgehensweise aufkommen.

Maßnahmen für Hotels aus der Sicht des BACS:

• Gerade Hotels müssen viele Dokumente öffnen, die von Gästen übermittelt werden. Ausführbare Dateien dürfen aber unter keinen Umständen geöffnet werden;
• Seien Sie vorsichtig bei der Installation von Programmen. Laden Sie Programme nur aus sicheren und vertrauenswürdigen Quellen herunter;
• Seien Sie bei ungewöhnlichen CAPTCHAs vorsichtig;
• Nehmen Sie den Computer beim Verdacht einer Infektion umgehend offline und ändern Sie bei allen Online-Zugängen Ihre Passwörter von einem anderen, nicht betroffenen Computer aus. Wenden Sie sich an eine Computerfachperson;
• Regelmäßige Backups erleichtern die Wiederherstellung Ihrer Daten;
• Halten Sie die Systeme immer auf dem neuesten Stand;
• Überlegen Sie sich eine Strategie, bei der die Computer für die Gästekommunikation vom restlichen Netz abgetrennt sind.

Maßnahmen für Hotelgäste aus der Sicht des BACS:

• Generell gilt: Geben Sie keine Passwörter oder Kreditkarten auf Webseiten an, die Sie über einen Link in einer E-Mail oder einer Textnachricht geöffnet haben;
• Keine Bank und kein Kreditkarteninstitut und auch kein Hotel wird Sie jemals per E-Mail auffordern, Passwörter zu ändern oder Kreditkartendaten zu verifizieren;
• Informieren Sie umgehend das Hotel und die Buchungsplattform, wenn Sie eine solche Phishing-E-Mail erhalten;
• Vorsicht bei E-Mails, die eine Aktion von Ihnen verlangen. Dabei kann es sich beispielsweise um das Anklicken eines Links oder das Öffnen eines Anhangs handeln;
• Bedenken Sie, dass Absender von E-Mails oder SMS leicht gefälscht werden können;
• Installieren Sie, wenn immer möglich eine Zwei-Faktor-Authentifizierung. Dies bietet eine zusätzliche Schutzebene, um zu verhindern, dass Ihr Konto gehackt wird.