Bitdefender ha individuato due campagne di phishing rivolte direttamente a hotel e strutture ricettive. Una sfrutta false richieste di prenotazione, mentre l’altra imita Booking.com e utilizza la tecnica ClickFix per convincere il personale a eseguire un comando PowerShell dannoso.

Questa volta i cybercriminali non stanno cercando di ingannare chi prenota una vacanza. Nel mirino finiscono direttamente hotel e strutture ricettive.

Bitdefender ha analizzato due campagne di phishing costruite attorno alle comunicazioni che il personale alberghiero gestisce ogni giorno. Il periodo scelto non è casuale, perché durante l’alta stagione aumentano richieste, prenotazioni e messaggi da controllare.

In questo flusso continuo diventa più facile scambiare una comunicazione fraudolenta per quella di un vero ospite.

ClickFix: tutto parte da richieste credibili

La prima campagna utilizza una situazione piuttosto comune.

Un presunto cliente contatta l’hotel sostenendo di non riuscire a completare la prenotazione sul sito. Chiede quindi assistenza e indirizza il dipendente verso una pagina esterna.

Il sito dovrebbe contenere i suoi dati identificativi e le informazioni della carta di credito.

In realtà rappresenta l’esca preparata dai cybercriminali.

La forza dell’attacco sta proprio nella sua normalità. Un problema durante una prenotazione non è qualcosa che può mettere immediatamente in allarme chi lavora ogni giorno alla reception.

ClickFix: le false notifiche portano al malware

La seconda campagna è ancora più elaborata.

Gli aggressori imitano le notifiche di Booking.com, utilizzando messaggi legati a situazioni perfettamente plausibili. Possono riguardare cancellazioni, richieste di fatture oppure comunicazioni degli ospiti.

Compaiono anche richieste legate ad allergie, assistenza speciale o necessità di accessibilità per persone anziane.

Il dipendente che apre il link viene portato verso una falsa pagina di verifica di Booking.com.

A quel punto entra in gioco ClickFix.

Il falso CAPTCHA chiede di eseguire un comando

Sul sito compare quello che sembra essere un normale controllo CAPTCHA.

La procedura, però, chiede all’utente di premere Windows + R, incollare un comando e successivamente premere Invio.

Quello che sembra un semplice passaggio di verifica avvia invece un comando PowerShell.

Il comando scarica malware direttamente sul computer utilizzato dal dipendente.

È proprio questo meccanismo a rendere ClickFix particolarmente interessante dal punto di vista della sicurezza.

L’attacco non deve sfruttare una vulnerabilità di Windows o di un programma installato. È la vittima stessa a eseguire l’operazione richiesta, convinta di stare completando una normale verifica.

Le patch da sole non bastano contro ClickFix

Mantenere computer e applicazioni aggiornati resta fondamentale, ma un attacco di questo tipo aggira in parte le normali logiche della sicurezza informatica.

Il sistema può essere completamente aggiornato e non presentare vulnerabilità note. Se un dipendente esegue volontariamente il comando suggerito dalla falsa pagina, il malware può comunque entrare nel dispositivo.

Per questo il fattore umano diventa una componente centrale della protezione.

Una richiesta insolita deve essere verificata prima di eseguire procedure che chiedono di aprire strumenti di sistema o incollare comandi.

Un CAPTCHA legittimo, soprattutto, non dovrebbe avere bisogno di Windows + R e PowerShell per dimostrare che davanti allo schermo si trova una persona.

Gli attacchi sono stati individuati anche in Italia

Secondo Bitdefender, le campagne hanno colpito soprattutto Regno Unito e Svizzera.

Sono state però rilevate attività anche negli Stati Uniti, Vietnam, Irlanda e Italia.

Il problema può quindi interessare direttamente anche le strutture ricettive del nostro Paese.

Il periodo estivo rende lo scenario ancora più delicato. Reception e uffici prenotazioni devono gestire un volume elevato di comunicazioni e spesso devono rispondere rapidamente.

Questa pressione riduce il tempo disponibile per controllare ogni dettaglio.

Ed è esattamente la situazione che gli aggressori cercano di sfruttare.

Un errore nelle date può smascherare il phishing

Nonostante l’attenzione utilizzata per rendere credibili i messaggi, alcune campagne lasciano piccoli indizi.

Bitdefender cita, per esempio, notifiche nelle quali la data di check-out precede quella di check-in.

È un dettaglio apparentemente banale, ma può bastare per capire che qualcosa non torna.

Bisogna quindi controllare indirizzo del mittente, dominio dei collegamenti e coerenza delle informazioni presenti nella richiesta.

Particolare attenzione va prestata quando una pagina esterna chiede di eseguire operazioni insolite sul computer.

Cosa rischiano gli hotel colpiti

Installare malware sul PC della reception può avere conseguenze molto più ampie della compromissione del singolo computer.

Gli aggressori possono cercare di ottenere le credenziali utilizzate sulle piattaforme di prenotazione.

Potrebbero inoltre accedere a informazioni relative agli ospiti o utilizzare il dispositivo compromesso come punto di partenza per muoversi all’interno della rete della struttura.

Le conseguenze possono quindi coinvolgere sia l’hotel sia i suoi clienti.

Un account di prenotazione compromesso può diventare a sua volta uno strumento per organizzare nuove truffe ancora più credibili.

La cybersecurity degli hotel passa anche dalla formazione

Le due campagne individuate da Bitdefender mostrano quanto il phishing moderno sia sempre più legato al contesto lavorativo della vittima.

Non servono più necessariamente email scritte male o richieste palesemente assurde.

Una domanda sulle allergie, una fattura da preparare o una prenotazione che non funziona sono tutte situazioni che un hotel può affrontare decine di volte in una giornata.

Il personale deve quindi essere formato per riconoscere non soltanto i messaggi sospetti, ma anche le procedure anomale richieste dopo aver cliccato su un collegamento.

Tecnologie di protezione, aggiornamenti e antivirus restano essenziali. In casi come ClickFix, però, devono essere affiancati da procedure interne chiare e da una maggiore consapevolezza.

Durante l’alta stagione basta infatti una richiesta apparentemente innocua per aprire una porta ai cybercriminali.

E quando un falso CAPTCHA arriva a chiedere di aprire Esegui, incollare un comando e premere Invio, quella porta è meglio lasciarla decisamente chiusa.