Cyberprzestępcy podszywają się pod Booking. Fałszywe SMS-y zawierają dane rezerwacji
Wakacje się skończyły? Dla dzieci i młodzieży tak, ale ci z Was, którzy planów nie uzależniają od potomstwa często wybierają wrzesień na wyjazdy. Nie zaskakuje więc, że do CERT Orange Polska trafiła kolejna kampania z podszyciem pod serwis Booking. Tym razem to prawdopodobnie phishing celowany, używający prawdziwych danych potencjalnych ofiar.
Wiadomości SMS przychodzą z nadpisów (od nadawców) Booking OTO oraz Reception. Treść wiadomości zawiera imię i nazwisko odbiorcy, a także nazwę hotelu oraz daty planowanego pobytu. Dane różnią się w zależności od odbiorcy, co może wskazywać na phishing ukierunkowany. Przykładowo:
Hello [Nazwisko Imię], your reservation at [Nazwa obiektu] is scheduled from [data przyjazdu] to [data wyjazdu]. View your booking details here: [adres fałszywej strony]
Domeny zaobserwowane przez nas to:
- booking.cheksupdguest-parthers[.]com
- getmyresecvationns[.]com
- arrivalsdeportbvooklngstays[.]com
- arrivalsbooklngstays[.]com
- booking.guestprecheckapprvepaga[.]com
- prechecksinsite[.]com
- boklsngstaysdetails[.]com
- sitseguestrecservc[.]com
- g.guesft-paids[.]com
- bookingdirect.guesft-paids[.]com
W dalszej części adresy zawierają ciąg cyfr prowadzący do podstrony z danymi konkretnego użytkownika.
Czy z Booking wyciekły moje dane?
To może potwierdzić tylko Booking, aczkolwiek w 2025 roku opisywaliśmy podobną kampanię, której źródłem było włamanie się przestępców do sieci hotelu i przejęcie kontroli nad kontem w serwisie. Fakt, iż na fałszywej stronie prezentowane są pełne szczegóły pobytu (włącznie z kwotą płatności) z dużym prawdopodobieństwem dowodzi właśnie tego.
Analizowane przez nas elementy kampanii dowodzą, że oszuści uzyskali dostęp do kont większej liczby obiektów noclegowych. Być może za pośrednictwem phishingu ukierunkowanego dokładnie w takie podmioty? Dlaczego dowody nie wydają się wskazywać, iż źródłem jest sam Booking? Firma, jako absolutny potentat na rynku w przypadku wycieku po swojej stronie ryzykowałaby znacznie więcej, nie informując o fakcie jego wystąpienia. Dodatkowo jest to obowiązek wynikający z unijnego prawa.
Co dzieje się po wpisaniu danych na pierwszym ekranie? Trafiamy na kolejną witrynę, gdzie jesteśmy proszeni o podanie danych karty płatniczej.
W wyskakującym okienku „Support agent” informuje, że musimy tylko potwierdzić dane karty. Ta ma zostać obciążona losową kwotą, która od razu wróci na nasze konto. Jeśli wpiszemy dane karty – trafią one w ręce przestępców…
…którzy prezentując nam ekran o „przetwarzaniu danych” na bieżąco usiłują dokonać zakupu przy użyciu podanych przed chwilą danych.
Jak nie dać się oszukać „na Booking.com”?
Opisywana kampania w tej formie może okazać się dla wielu internautów trudna do rozpoznania. Oszuści wykorzystują faktyczne dane potencjalnych ofiar, a dodatkowo fakt, że na stronie widzimy dane prawdziwej rezerwacji, może sprawić, że damy się oszukać. Dodatkowo używane nadpisy mogą sugerować, że mamy do czynienia z prawdziwą korespondencją. Na co zatem uważać?
W tym przypadku kluczem jest adres strony. Na tych łamach regularnie przypominamy, by w każdej sytuacji wymagającej od nas opłaty, podania danych osobowych czy haseł – zawsze sprawdzić adres strony! Domeny używane w tej kampanii zawierają słowa kojarzące się z rezerwacjami, turystyką czy samym serwisem Booking.
Sprawdź więc adres strony docelowej. Samo otwarcie strony nie musi oznaczać utraty danych, ale nie wpisuj na niej żadnych informacji i zamknij ją, jeśli adres budzi wątpliwości. W przypadku Booking – płatności dokonuj wyłącznie w domenie booking.com. Za pomocą naszego narzędzia możesz sprawdzić, czy dana strona blokowana jest w sieci Orange Polska.
Warto pamiętać: to, że ktoś pisze do Ciebie, używając Twoich danych i zna numer Twojej rezerwacji – wciąż może być oszustwem! Lepiej być nieufnym niż stracić budżet na całe wakacje.
Co zrobić, jeśli podałem dane mojej karty?
Przy tego typu kampaniach przestępcy najczęściej okradają ofiary na bieżąco. W takiej sytuacji czas jest kluczowy.
- natychmiast zablokuj kartę, której dane podałeś/aś oszustom
- skontaktuj się z bankiem i poinformuj go o tym
Orange Polska bierze udział w finansowanym przez Unię Europejską projekcie ThreatChase (ThreatChase – Open Platform for Protection against Phishing). Celem projektu jest stworzenie i wprowadzenie platformy wspomagającej strukturyzację danych w zakresie phishingowych adresów i domen oraz proaktywnie zapobiegającej skutkom ataków phishingowych. Obserwuj ThreatChase na LinkedIn.
