Hotelski hakeri preusmjeravaju goste na lažni Booking.com

Sigurnosni istraživači otkrili su kampanju krađe informacija u više koraka u kojoj hakeri provaljuju sisteme hotela, Internet stranica za rezervacije i turističkih agencija, a zatim koriste njihov pristup da bi došli do finansijskih podataka koji pripadaju klijentima. Korištenjem ovog indirektnog pristupa i lažne Booking.com stranice za plaćanje, sajber kriminalci su pronašli kombinaciju koja obezbjeđuje znatno bolju stopu uspeha u prikupljanju informacija o kreditnoj kartici.

Hotelski hakeri preusmjeravaju goste na lažni Booking.com; Source: Bing Image Creator

PHISHING KAMPANJA

Phishing je uobičajena tehnika sajber napada koja uključuje prevare korisnike da kliknu na zlonamjerne veze, preuzimaju zlonamjerne priloge ili unose osjetljive informacije na lažne Internet stranice. Phishing može da utiče na svakoga ko koristi Internet, ali neke grupe su ranjivije od drugih. Jedna takva grupa su gosti hotela, koji mogu biti na meti sofisticirane phishing kampanje koja iskorištava njihovo povjerenje u usluge rezervacija preko Interneta.

Ova phishing kampanja uključuje napad u više faza koji prvo kompromituje mrežu hotela, a zatim kontaktira klijente hotela preko platforme za razmjenu poruka na Internet stranici za rezervacije. Napadač se pretvara da je hotel i traži od klijenta da ponovo potvrdi podatke o svojoj kreditnoj kartici klikom na vezu koja vodi na stranicu za phishing. Stranica za krađu identiteta izgleda identično stranici za plaćanje na Internet stranici za rezervacije i prikuplja lične i finansijske informacije klijenta.

Believable phishing message delivered through legitimate booking platform; Source: Akamai

FUNKCIONISANJE

Zlonamjerni akteri ciljaju ugostiteljsku industriju naprednim kradljivcem podataka putem usluga Internet rezervacije. Zlonamjerni akter postavlja zahtev za rezervaciju, birajući opciju „plati u hotelu“ i šalje hotelu seriju hitnih i naizgled iskrenih elektronskih poruka sa linkovima do „fotografija“ koje ustvari pokreću kradljivca podataka.

Detaljnije istraživanje je pokazalo da postoji i druga faza ove sofisticirane phishing kampanje, koja potom cilja na legitimne korisnike ovih Internet stranica. Proces napada koji koriste zlonamjerni akteri sastoji se iz korištenja kradljivca podataka, kontaktiranja žrtve i prevare korisnika.

Kradljivac podataka.

Nakon što se kradljivac podataka izvrši na originalnoj meti (hotelu), napadač može pristupiti razmjeni poruka sa legitimnim kupcima. Često se preporučuje da kupci koriste samo zvanične i poznate metode komunikacije, kao što su različite platforme za razmjenu poruka u okviru Internet stranice, kako bi spriječili nelegitimne ili obmanuće interakcije. Nažalost, ovaj savjet postaje bespotreban sada kada napadač može da pristupi tim metodama.

Kontaktiranja žrtve.

Sada kada napadač ima direktan i pouzdan pristup, poruka se šalje nameravanoj žrtvi. Ova poruka sledi tipičan način funkcionisanja phishing napada: zahteva hitnu akciju i izaziva strah. Napisan je profesionalno i po uzoru na iskrenu interakciju hotela sa gostima, što stvara još više povjerenje za primaoca. Važno je zapamtiti da ova poruka dolazi iz same platforme za poruke na Internet stranici za rezervacije. Da je ovo poruka elektronske pošte nepoznatog pošiljaoca, vjerovatno bi bila zanemarena, ali pošto je ovo direktna poruka sa same Internet stranice za rezervaciju, izgleda legitimno i pouzdano.

Prevara korisnika.

Poruka sadrži zlonamjernu vezu koja tvrdi da je dodatna verifikacija kartice kako bi se osiguralo da rezervacija neće biti otkazana. Žrtva, koja očigledno želi da zadrži rezervaciju, poštuje uslove navedene u poruci i klikne na vezu. Ova veza pokreće izvršnu datoteku na žrtvinoj mašini kôdiranu u složenoj JavaScript Base64 skripti. Ova skripta je dizajnirana da otkrije informacije žrtve i osigura da će ih sigurnosni istraživači teško analizirati ili razumjeti. Ova tehnika zamagljivanja kôda govori o sofisticiranosti zlonamjernog aktera koji stoji iza ovoga. Očigledno, skripta koristi različite tehnike za prikupljanje ovih informacija, kao što je provjera mogućnosti i atributa pretraživača korisnika. Zatim prikuplja podatke i izgleda da pokušava da pošalje ove podatke serveru koristeći POST zahtev. Zlonamjerni akter je dodao nekoliko bezbjednosnih validacija kao tehniku protiv analize. Ako klijent prođe ove testove, korisniku će biti predstavljena Internet stranica za krađu identiteta koji se maskira kao stranica za plaćanje Booking.com koja zahteva podatke o kreditnoj kartici. Napadač je takođe implementirao kanal za podršku za pametno dopisivanje kako bi osigurao kredibilitet phishing prevare.

Phishing site mimicking Booking.com; Source: Akamai

ZAKLJUČAK

Uprkos široko rasprostranjenoj svesti o phishing napadu, on je i dalje jedan od najuspješnijih i sveprisutnih vektora napada u ogromnoj kolekciji sajber prijetnji. Phishing kampanje dolaze u različitim oblicima i nastavljaju da se razvijaju kako se pojavljuju novi potencijalni mediji. Od elektronskih poruka u kojima se lažno predstavljaju banke do tekstualnih poruka koje oponašaju obavještenja o isporuci do zlonamjernog kôda ugrađenog u fotografiju, phishing može uticati na svakoga ko ima pristup računaru.

Istraživanje je pokazalo da je ova phishing kampanja aktivna najmanje četiri godine i da je ciljala hotele, Internet stranice za rezervacije i turističke agente u različitim regionima, posebno u Aziji. U kontekstu sajber napada, počinilac može da koristi kombinaciju osnovnih i naprednih tehnika kao što su iskorištavanje ranjivosti nultog dana, kreiranje lažnih digitalnih certifikata i manipulacija emocijama.

Ove metode mogu biti veoma efikasne u postizanju ciljeva napadača i mogu predstavljati značajne rizike za ciljanu organizaciju ili sistem. Za preduzeća i pojedince je važno da ostanu na oprezu i preduzmu proaktivne mjere za ublažavanje ovih prijetnji.

ZAŠTITA

Svi korisnici moraju da budu na oprezu zbog phishing napada, jer ova sofisticirana prevara funkcioniše, ali funkcionišu i mnogo jednostavnije prevare. Phishing kampanja ovog nivoa ne dolazi svaki dan, ali zlonamjerni akteri uvijek razvijaju nove taktike za napad na žrtve koje ništa ne sumnjaju. Najbolji način da se korisnici zaštite je da budu oprezni i budni svaki put kada dobiju neočekivanu poruku i da vode računa o sljedećim preporukama:

• Bez obzira na to koliko je legitimna poruka, najbolje je izbjegavati otvaranje veza u neočekivanim porukama.
• Za potvrdu autentičnost poruka, koristiti drugi zvanični kanal van platforme za razmjenu poruka i kontaktirati kompaniju, kao što je elektronska pošta ili broj telefona koji su dali hotel ili putnička agencija na originalnoj Internet stranici.
• Biti oprezan sa porukama koje stvaraju osjećaj hitnosti ili prijete negativnim posljedicama ako se ne poduzmu hitne akcije.
• Uvijek provjeriti Internet adresu pažljivo kako bi bili sigurni da odgovara legitimnoj Internet stranici.
• Koristiti pouzdano i provjereno bezbjednosno rješenje i redovno ažurirati operativni sistem i aplikacije, kako bi se na vrijeme ispravili sigurnosni propusti koje zlonamjerni akteri mogu da iskoriste.