Une campagne de Phishing ciblant le secteur de l'hôtellerie usurpe l'identité d'Expedia et de Cloudbeds

Présentation de la campagne

Samantha Clarke, Ankit Gupta et l'équipe de recherche sur les menaces de Mimecast ont identifié une campagne de Phishing en cours visant spécifiquement les professionnels du secteur de l'hôtellerie et de la restauration, par le biais d'e-mails frauduleux se faisant passer pour les plateformes Expedia Partner Central et Cloudbeds. Cette opération de collecte d'identifiants tire parti du caractère routinier des communications liées aux réservations d'hôtel pour inciter les destinataires, par la ruse, à divulguer leurs identifiants de connexion.

Cette campagne utilise des objets de courriel percutants et essentiels à l'activité, conçus pour inciter les directeurs et le personnel des hôtels à agir sans délai. Parmi les messages courants, on trouve les alertes de suivi des commissions, les mises à jour du système, les confirmations de réservation des clients et les notifications de l'espace partenaires. Ces thèmes mettent en avant le caractère urgent des opérations dans le secteur de l'hôtellerie, où tout retard dans le traitement des réservations des clients ou des alertes système peut avoir un impact direct sur le chiffre d'affaires de l'entreprise.

Les auteurs de ces menaces font preuve d’une connaissance approfondie des processus opérationnels du secteur hôtelier en rédigeant des e-mails qui font référence à des fonctionnalités spécifiques de certaines plateformes, telles que "Partner Central,", "(suivi des commissions)," et "(messages destinés aux clients)." Ces e-mails redirigent les destinataires vers des pages de connexion frauduleuses qui imitent fidèlement les interfaces légitimes d'Expedia et de Cloudbeds, dans le but de récupérer les noms d'utilisateur, les mots de passe et, éventuellement, les jetons d'authentification à plusieurs facteurs.

Toutes les infrastructures malveillantes identifiées utilisent la plateforme d'hébergement d'applications de Vercel, ce qui laisse supposer que les attaquants tirent parti de la facilité de déploiement et de l'apparence légitime de ce service pour héberger leurs sites destinés à la collecte d'identifiants. L'utilisation systématique de noms de domaine et de sous-domaines liés au secteur de l'hôtellerie et de la restauration indique qu'il s'agit d'une campagne ciblée et spécifique à ce secteur, plutôt que d'une attaque de phishing opportuniste à large spectre.