Evropská komise vyšetřuje Booking.com. Jak podvody na této platformě fungují?
V souvislosti se zahájením vyšetřování rezervační platformy Booking.com Evropskou komisí bychom rádi připomněli, jak tento stále relativně nový typ podvodu funguje. Jak letos v březnu poprvé upozornili výzkumníci, podvod nazvaný „reservation hijack“ na rozdíl od běžného phishingu obsahuje skutečné údaje o rezervaci ubytování oběti.
Ve zprávě požadující urgentní potvrzení platby lze vyčíst správný název hotelu, termín cesty, a dokonce i podrobnosti k platbě – to všechno podvodníci využívají, aby ještě přesvědčivěji napodobili legitimní komunikaci ubytovacího zařízení. V některých případech podvodníci dokonce infiltrují účty důvěryhodných rezervačních platforem, jako je právě Booking.com, aby mohli cestovatelům posílat zprávy přímo.
Skutečné rezervační údaje přitom útočníci získávají různým způsobem, například prostřednictvím phishingu personálu ubytovacího zařízení, zneužitím slabých hesel hotelů nebo jejich partnerů k získání přístupu do jejich účtů na rezervačních platformách nebo získáním přístupu k chatovacím nástrojům na rezervační platformě, kde se mohou vydávat za opravdové ubytovací zařízení. Právě tím je podvod obzvláště nebezpečný. Oběť totiž přirozeně předpokládá, že podvodník by neměl mít ke skutečným údajům přístup a celou konverzaci snáze vyhodnotí jako legitimní. Odkaz ve zprávě pak oběť vybízí k vyplnění platebních a osobních údajů.
Pro ilustraci, pozdější analýza výzkumníků Genu pak identifikovala více než 350 potvrzených kompromitovaných ubytovacích zařízení v 50 zemích, přičemž nejvíce zasažená je Evropa. Podle dat Genu se Česko řadí mezi deset zemí nejvíce ohrožených tímto typem podvodu. Odhadovaný rozsah potenciálního dopadu je pak značný – tato zařízení dokážou současně ubytovat až desítky tisíc hostů a ročně odbaví až miliony pobytů.
„Tento model představuje evoluci klasického phishingu. Útočníci už necílí na oběti náhodně, ale zneužívají existující komunikaci mezi hostem, rezervační platformou a ubytovacím zařízením. Díky tomu jsou jejich útoky výrazně úspěšnější a mohou je snadno opakovat ve velkém,“ říká výzkumník malwaru v Genu Martin Chlumecký. „Základní pravidlo ve spojitosti s touto podvodnou technikou pak je, že ani zpráva s přesnými údaji o rezervaci nemusí být důvěryhodná.“
Klíčové tipy, jak se rizika tohoto podvodu vyvarovat:
- komunikovat pouze přes oficiální kanály, a i na nich dále ověřovat pravost zpráv, zejména odkazů
- v případě pochybností využít jiný ověřený kontakt, např. telefonní číslo přímo na provozovatele ubytování
- nezadávat platební údaje přes odkazy ve zprávách
- ubytovatelé by měli posílit ochranu účtů a rezervačních systémů, případně vyškolit zaměstnance proti phishingu
KOMENTÁŘE