Campagna di phishing mirata al settore alberghiero che si spaccia per Expedia e Cloudbeds

Panoramica della campagna

Samantha Clarke, Ankit Gupta e il team di ricerca sulle minacce di Mimecast hanno individuato una campagna di phishing attiva che prende di mira in modo specifico i professionisti del settore alberghiero tramite e-mail fraudolente che si spacciano per le piattaforme Expedia Partner Central e Cloudbeds. Questa operazione di raccolta delle credenziali sfrutta la natura di routine delle comunicazioni relative alle prenotazioni alberghiere per indurre i destinatari a rivelare le proprie credenziali di accesso.

La campagna utilizza oggetti delle e-mail dal tono urgente e di importanza cruciale per l’attività, pensati per stimolare un’azione immediata da parte dei direttori e del personale degli hotel. Tra le esche più comuni figurano gli avvisi relativi al monitoraggio delle commissioni, gli aggiornamenti di sistema, le conferme delle prenotazioni degli ospiti e le notifiche della piattaforma partner. Tali tematiche sfruttano la natura urgente delle operazioni nel settore dell’ospitalità, in cui le risposte tardive alle prenotazioni degli ospiti o agli avvisi di sistema possono incidere direttamente sui ricavi aziendali.

Gli autori delle minacce dimostrano una conoscenza approfondita dei flussi di lavoro del settore alberghiero, redigendo e-mail che fanno riferimento a funzionalità specifiche delle piattaforme, quali "Partner Central," " monitoraggio delle commissioni," e "messaggi agli ospiti." Le e-mail indirizzano i destinatari verso pagine di accesso fraudolente che riproducono fedelmente le interfacce legittime di Expedia e Cloudbeds, progettate per sottrarre nomi utente, password e, potenzialmente, token di autenticazione a più fattori.

Tutte le infrastrutture dannose individuate utilizzano la piattaforma di hosting delle applicazioni di Vercel, il che suggerisce che gli autori degli attacchi stiano sfruttando la facilità di implementazione e l’aspetto legittimo di tale servizio per ospitare i propri siti finalizzati alla raccolta di credenziali. L'uso sistematico di nomi di dominio e sottodomini incentrati sul settore dell'ospitalità indica una campagna mirata e specifica per il settore, piuttosto che un'attività di phishing opportunistica e ad ampio raggio.