- Großangelegte Kampagne zum Diebstahl von Zugangsdaten, die sich gegen Fachkräfte der Hotellerie richtet
- Gibt sich als die vertrauenswürdigen Hotelmanagement-Plattformen „Expedia Partner Central“ und „Cloudbeds“ aus
- Bei solchen Kampagnen wird das Vertrauen in routinemäßige Benachrichtigungen zu Hotelbuchungen und Provisionen ausgenutzt
Threat intelligence
Phishing-Kampagne mit Schwerpunkt auf der Hotellerie gibt sich als Expedia und Cloudbeds aus
Wichtige Punkte
Kampagnenübersicht
Samantha Clarke, Ankit Gupta und das Mimecast Threat Research Team haben eine aktive Phishing-Kampagne aufgedeckt, die sich gezielt an Fachkräfte der Hotellerie richtet und bei der betrügerische E-Mails versendet werden, die vorgeben, von den Plattformen „Expedia Partner Central“ und „Cloudbeds“ zu stammen. Diese Aktion zum Diebstahl von Zugangsdaten nutzt den routinemäßigen Charakter der Kommunikation bei Hotelbuchungen aus, um die Empfänger dazu zu verleiten, ihre Anmeldedaten preiszugeben.
Die Kampagne verwendet dringliche, geschäftskritische Betreffzeilen, die darauf abzielen, Hotelmanager und Mitarbeiter zum sofortigen Handeln zu bewegen. Zu den gängigen Anreizen zählen Benachrichtigungen zur Provisionsabrechnung, Systemaktualisierungen, Buchungsbestätigungen für Gäste sowie Benachrichtigungen aus dem Partner-Portal. Diese Themen nutzen den zeitkritischen Charakter des Gastgewerbes aus, in dem verspätete Reaktionen auf Gästebuchungen oder Systemwarnungen sich unmittelbar auf den Umsatz auswirken können.
Die Angreifer beweisen ein ausgeprägtes Verständnis der Arbeitsabläufe in der Hotellerie, indem sie E-Mails verfassen, die auf bestimmte Plattformfunktionen verweisen, wie beispielsweise "Partner Central," " Provisionsverfolgung," sowie "Gäste-Nachrichten." Die E-Mails leiten die Empfänger auf betrügerische Anmeldeseiten weiter, die den legitimen Benutzeroberflächen von Expedia und Cloudbeds zum Verwechseln ähnlich sehen und darauf ausgelegt sind, Benutzernamen, Passwörter und möglicherweise auch Token für die Multi-Faktor-Authentifizierung abzufangen.
Die gesamte identifizierte bösartige Infrastruktur nutzt die Anwendungshosting-Plattform von Vercel, was darauf hindeutet, dass die Angreifer die einfache Bereitstellung und den seriösen Eindruck dieses Dienstes ausnutzen, um ihre Websites zum Abgreifen von Anmeldedaten zu hosten. Die konsequente Verwendung von Domainnamen und Subdomains mit Bezug zum Gastgewerbe deutet eher auf eine gezielte, branchenspezifische Kampagne hin als auf opportunistisches, breit angelegtes Phishing.
