{"id":289037,"date":"2023-12-07T15:29:26","date_gmt":"2023-12-07T14:29:26","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=289037"},"modified":"2023-12-07T15:29:26","modified_gmt":"2023-12-07T14:29:26","slug":"booking-com-von-cyberangreifern-missbraucht-phishing-und-malware-verschickt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/12\/07\/booking-com-von-cyberangreifern-missbraucht-phishing-und-malware-verschickt\/","title":{"rendered":"Booking.com von Cyberangreifern missbraucht – Phishing und Malware verschickt"},"content":{"rendered":"

\"Sicherheit[English]Cyberkriminellen gelingt es wohl immer wieder, die Buchungsplattform booking.com f\u00fcr Phishing und Betrug zu missbrauchen. Die Opfer erhalten die Phishing-Nachrichten direkt \u00fcber die booking.com-App. Dahinter steckt ein grunds\u00e4tzliches Problem, da die Cyberkriminellen die Systeme der Vermieter kompromittieren und dann das booking.com-System missbrauchen, um Ofer in die Falle zu locken.<\/p>\n

<\/p>\n

\"\"Die Hotel-Buchungsplattform booking.com ist mir beispielsweise aus dem Beitrag Booking.com-Hack aus 2016 wohl durch Mitarbeiter des US-Geheimdiensts<\/a> hier im Blog bekannt. Und seit Sommer 2023 k\u00f6chelt eine neue Betrugsmasche, die die Plattform booking.com missbraucht, um Opfer zu \u00fcbert\u00f6lpeln. <\/p>\n

Warnungen seit Monaten<\/h2>\n

Bereits im Mai 2023 gab es die Warnung der Verbraucherzentrale<\/a> Niedersachen vor Fake-Nachrichten, die im Umfeld der Buchungsplattform booking.com verschickt werden. Eine Frau aus Niedersachsen hatte bei booking.com eine Reise gebucht und erhielt kurze Zeit sp\u00e4ter eine WhatsApp-Nachricht. Diese stammte vorgeblich von einer Mitarbeiterin des Hotels und enthielt einige Fragen zur Buchung sowie Links. Die Frau reagiert darauf nicht. Vor Urlaubsbeginn erh\u00e4lt sie dann noch eine E-Mail: Es g\u00e4be Probleme mit dem gew\u00e4hlten Zahlungsmittel und die Daten m\u00fcssten erneut eingegeben werden. Hierf\u00fcr h\u00e4tte die Kundin  24 Stunden Zeit, andernfalls werde die Buchung storniert. Die E-Mail stammt angeblich vom Buchungsportal und leitet auf eine Website weiter, die der original Booking.com-Seite t\u00e4uschend \u00e4hnlich sieht. Die Verbraucherin war verwundert und fragt beim Hotel nach. Dies versichert ihr aber, dass die Buchung funktioniert habe und es sich voraussichtlich um einen Betrugsversuch handele.<\/p>\n

Kathrin Bartsch, Rechtsexpertin der Verbraucherzentrale Niedersachsen, sagte seinerzeit dazu: \"Die Betr\u00fcger haben nicht nur pers\u00f6nliche Daten von Buchenden. Sie wissen sogar genau, f\u00fcr welchen Zeitraum Kundinnen und Kunden welches Hotel gebucht haben. Das macht es nat\u00fcrlich umso schwerer, einen Betrugsversuch \u00fcberhaupt zu erkennen. \u00dcber einen Hackerangriff oder aus anderen Sicherheitsl\u00fccken eines Verwaltungstools der Unterkunft gelangen Kriminelle an die Daten der Kundinnen und Kunden, die \u00fcber Booking.com gebucht haben.\"<\/p>\n

Inzwischen warnt die Verbraucherzentrale Nordrhein-Westfalen in diesem aktuellen Beitrag<\/a> vor Betrugsversuchen im Umfeld von booking.com. Wer dort bucht, bekommt u.U. eine Benachrichtigung mit der Aufforderung, seine Kreditkartendaten erneut einzugeben. Oder es soll eine erneute Verifizierung erfolgen, bei der pers\u00f6nliche Daten abgegriffen werden.  Diese Benachrichtigung stammt aber nicht von der gebuchten Unterkunft, sondern von Betr\u00fcgern, die diese Daten abfischen wollen. <\/p>\n

Die Verbraucherzentrale berichtet von F\u00e4llen, wo die Phishing-Nachricht vom Buchungsportal kam und der Empf\u00e4nger zur Angabe der Zahlungsdaten aufgefordert wurde. Die Betr\u00fcger wussten genau \u00fcber die Buchung Bescheid und kannten Hotel, Aufenthaltsdaten und so weiter. Florian H. wird dort so zitiert: \"Direkt in deren Nachrichtenportal wurde ich vom Hotel angeschrieben und zur Verifizierung der Zahlungsdaten aufgefordert. Parallel dazu erhielt ich eine WhatsApp mit echtem Namen und auch dem Namen des Hotels.\" Sogar der Buchungszeitraum und Buchungsnummer bei booking.com waren richtig.<\/p>\n

Die Verbrauchersch\u00fctzer raten, die Bezahlung der Unterkunft und auch die Angabe der Zahlungsdaten nur auf der Plattform booking.com vorzunehmen und nicht auf weitere Benachrichtigungen, die Zahlungsdaten anfordern, zu reagieren. Denn die Nachrichten sind mutma\u00dflich gef\u00e4lscht – ein kurzer Anruf bei der Plattform oder der Unterkunft d\u00fcrfte genau dies ergeben. <\/p>\n

Wie sind die Angriffe \u00fcber booking.com m\u00f6glich?<\/h2>\n

Die Verbraucherzentrale Nordrhein-Westfalen zitiert in diesem aktuellen Beitrag<\/a> die Plattform booking.com mit der Erkl\u00e4rung, dass wohl Angestellte von Unterk\u00fcnften per Phishing verleitet wurden, die Zugangsdaten des Hotels oder der Unterkunft einzugeben. Damit haben die Betr\u00fcger dann \u00fcber dieses Konto Zugriff auf die Buchungsdaten sowie auf das Benachrichtigungssystem von booking.com. <\/p>\n

Malware ziel auf Unterk\u00fcnfte<\/h3>\n

Auch heise berichtet in diesem aktuellen Artikel<\/a> von Lesermeldungen in den letzten Monaten, wo Leute Nachrichten direkt von booking.com erhielten, die von Betr\u00fcgern stammten. Dort wird jedoch angegeben, dass die Cyberkriminellen die Hotelmitarbeiter per auf Datendiebstahl abgestimmte Malware angreifen. Ist die Schadsoftware beim Mitarbeiter der Unterkunft auf dem System installiert, k\u00f6nnen die Kriminellen beliebige Daten abgreifen und dann den Buchenden \u00fcber das booking.com-Nachrichtensystem Fake-Benachrichtigungen schicken. <\/p>\n

Die Kollegen von Bleeping Computer haben bereits im September 2023 in diesem Artikel<\/a> auf eine entsprechende Kampagne hingewiesen, die nach dem gleichen Schema ablief. Perception Point hat in diesem Blog-Beitrag<\/a> die betreffenden Details dokumentiert. Dort werden Beispiele von Mails gezeigt, die die Kriminellen an Hotels und andere Unterk\u00fcnfte verschicken. <\/p>\n

SecureWorks schreibt in diesem Blog-Beitrag<\/a> \u00fcber einen Info-Stealer (Trojaner) mit der Bezeichnung Vidar, der gezielt von einer Cybergang f\u00fcr ihre Betrugsversuche eingesetzt wird. Ziel ist es, die Systeme der Hotelmitarbeiter \u00fcber sch\u00e4dliche Anh\u00e4nge zu infizieren. Dazu buchen die Betr\u00fcger bei der Unterkunft und schicken im Nachgang eine Nachricht mit einem Schadanhang. Der Anhang erm\u00f6glicht dann die Anmeldedaten der Unterkunft abzugreifen. Weiterhin nutzt der Bedrohungsakteur Spearphishing-E-Mails und Social-Engineering-Taktiken, um die Anmeldedaten eines Hotels zu erlangen und die Zahlungsinformationen der Kunden zu erfragen. Der SecureWorks Blog-Beitrag enth\u00e4lt detaillierte Informationen zu dieser Taktik und die Kampagnen laufen seit mindestens M\u00e4rz 2023.<\/p>\n

Details von Check Point Research<\/h2>\n

Von Check Point Research (CPR) habe ich noch die Information erhalten, dass seit Monaten Kundendaten von der Plattform booking.com gestohlen wurden und im Dark Net zum Verkauf angeboten werden. Die Sicherheitsforscher von Check Point Research fanden heraus, dass die Branche im dritten Quartal 2023 je Woche 1000 Attacken erleiden musste. Dies entspricht einem Anstieg von 5 Prozent im Vergleich zum Vorjahresquartal entspricht. <\/p>\n

Hacker entdecken somit das Freizeit- und Gastst\u00e4ttengewerbe auch zur Wintersaison f\u00fcr sich, schreibt CPR. Die Sicherheitsforscher konnten zudem Ans\u00e4tze aufdecken, die die Cyberkriminellen f\u00fcr ihre Kampagnen verfolgen. <\/p>\n

<\/a>
Werbung eines Hackers in einem Forum, um Komplizen f\u00fcr den Hotel-Betrug \u00fcber Booking.com zu gewinnen. Quelle: Check Point Research<\/i><\/p>\n

Auch bei Check Point Research hei\u00dft es, dass die Cyberkriminellen eine Buchung \u00fcber das Portal booking.com vornehmen. Im Anschluss schicken sie dem Hotel \u00fcber eine Nachrichtenanwendung eine verseuchte Datei, um das Hotel zu infizieren. Obiger Screenshot zeigt eine Werbung im Darknet, wo Mulis f\u00fcr die Aufgabe der Hotelbuchungen gesucht werden. Aber es gibt weitere Ans\u00e4tze, auf die CPR im Dark Net in Untergrundforen gesto\u00dfen ist:<\/p>\n