Campaña de phishing dirigida al sector hotelero que se hace pasar por Expedia y Cloudbeds

Resumen de la campaña

Samantha Clarke, Ankit Gupta y el equipo de investigación de amenazas de Mimecast han identificado una campaña de phishing activa dirigida específicamente a profesionales del sector hotelero a través de correos electrónicos fraudulentos que se hacen pasar por las plataformas Expedia Partner Central y Cloudbeds. Esta operación de robo de credenciales se aprovecha del carácter rutinario de las comunicaciones relacionadas con las reservas hoteleras para engañar a los destinatarios y que estos revelen sus credenciales de acceso.

La campaña utiliza asuntos de correo urgentes y de importancia crítica para el negocio, diseñados para incitar a los directores y al personal de los hoteles a actuar de inmediato. Entre los elementos más habituales se encuentran las alertas de seguimiento de comisiones, las actualizaciones del sistema, las confirmaciones de reservas de huéspedes y las notificaciones del Centro de socios. Estos temas se centran en el carácter urgente de las operaciones del sector hotelero, en el que las respuestas tardías a las reservas de los huéspedes o a las alertas del sistema pueden afectar directamente a los ingresos de la empresa.

Los autores de las amenazas demuestran un profundo conocimiento de los procesos operativos del sector hotelero al redactar correos electrónicos en los que hacen referencia a funciones específicas de la plataforma, como "Partner Central," el seguimiento de comisiones de "," y los mensajes para huéspedes de "." Los correos electrónicos redirigen a los destinatarios a páginas de inicio de sesión fraudulentas que imitan fielmente las interfaces legítimas de Expedia y Cloudbeds, diseñadas para obtener nombres de usuario, contraseñas y, posiblemente, tokens de autenticación multifactorial.

Toda la infraestructura maliciosa identificada utiliza la plataforma de alojamiento de aplicaciones de Vercel, lo que sugiere que los atacantes están aprovechando la facilidad de implementación y la apariencia legítima de este servicio para alojar sus sitios web destinados a la recopilación de credenciales. El uso sistemático de nombres de dominio y subdominios relacionados con el sector hotelero indica que se trata de una campaña dirigida y específica del sector, y no de un ataque de phishing oportunista de amplio alcance.