Ένα μήνυμα για «επείγουσα αλλαγή κράτησης» ή ένα παράπονο επισκέπτη μπορεί να μοιάζει απολύτως συνηθισμένο. Για τις ομάδες ξενοδοχείων, όμως, τα συνημμένα αρχεία που συνοδεύουν τέτοια μηνύματα έχουν γίνει αποτελεσματικό όχημα phishing και κακόβουλου λογισμικού.
Πρόσφατη καμπάνια που περιγράφηκε από τη Microsoft ως «Photo.zip» στόχευσε οργανισμούς φιλοξενίας στην Ευρώπη και την Ασία. Οι δράστες προσποιούνταν πελάτες με πρόβλημα σε κράτηση ή με καταγγελία και ζητούσαν από τον υπάλληλο να ανοίξει συμπιεσμένο αρχείο με δήθεν φωτογραφίες.
Γιατί τα ξενοδοχεία είναι ελκυστικός στόχος
Τα τμήματα κρατήσεων, υποδοχής και εξυπηρέτησης λαμβάνουν μεγάλο όγκο μηνυμάτων από άγνωστους αποστολείς. Η πίεση για γρήγορη απάντηση, οι πολλές γλώσσες και η εναλλαγή εποχικού προσωπικού δημιουργούν ιδανικές συνθήκες για κοινωνική μηχανική.
Οι επιτιθέμενοι δεν χρειάζεται να παραβιάσουν πρώτα ένα σύστημα. Αρκεί να πείσουν έναν εργαζόμενο να ανοίξει ένα αρχείο, να επισκεφθεί ψεύτικη σελίδα σύνδεσης ή να δώσει κωδικό πρόσβασης.
Επτά έλεγχοι πριν ανοίξει ένα αρχείο
- Επιβεβαίωση της κράτησης: Αναζητήστε το όνομα, τον κωδικό και τις ημερομηνίες στο PMS ή στο επίσημο κανάλι κρατήσεων. Μην εμπιστεύεστε στοιχεία που υπάρχουν μόνο στο email.
- Έλεγχος αποστολέα: Διαβάστε ολόκληρη τη διεύθυνση και όχι μόνο το εμφανιζόμενο όνομα. Μικρές αλλαγές σε domain ή δωρεάν λογαριασμοί χρειάζονται πρόσθετη επιβεβαίωση.
- Προσοχή σε ZIP και εκτελέσιμα αρχεία: Απρόσμενα συμπιεσμένα πακέτα «φωτογραφιών» δεν πρέπει να ανοίγουν σε σταθμό εργασίας που έχει πρόσβαση σε PMS, email διαχείρισης ή πληρωμές.
- Επιστροφή στο επίσημο κανάλι: Ζητήστε από τον πελάτη να ανεβάσει υλικό μέσα από την πλατφόρμα κράτησης ή να επιβεβαιώσει το αίτημα από καταχωρισμένο τηλέφωνο.
- Απομονωμένη προεπισκόπηση: Αν ένα αρχείο πρέπει να εξεταστεί, χρησιμοποιήστε εγκεκριμένο sandbox ή προστατευμένο σταθμό χωρίς επιχειρησιακά δικαιώματα.
- MFA και ελάχιστα δικαιώματα: Οι λογαριασμοί κρατήσεων δεν πρέπει να έχουν πρόσβαση σε οικονομικά συστήματα ή ρυθμίσεις διαχειριστή. Η πολυπαραγοντική σύνδεση περιορίζει τη ζημιά από κλεμμένο κωδικό.
- Άμεση αναφορά: Δημιουργήστε σαφή διαδικασία για ύποπτα μηνύματα. Η γρήγορη απομόνωση συσκευής και η διατήρηση logs βοηθούν την ομάδα ασφάλειας να περιορίσει το περιστατικό.
Εκπαίδευση με πραγματικά σενάρια
Η γενική οδηγία «μην ανοίγετε ύποπτα αρχεία» δεν αρκεί. Η εκπαίδευση πρέπει να χρησιμοποιεί σενάρια που μοιάζουν με την καθημερινή ροή ενός ξενοδοχείου: αλλαγές ημερομηνιών, αιτήματα επιστροφής χρημάτων, φωτογραφίες ζημιάς, τιμολόγια προμηθευτών και παράπονα επισκεπτών.
Οι εργαζόμενοι χρειάζεται επίσης να γνωρίζουν ότι δεν θα τιμωρηθούν επειδή σταμάτησαν μια διαδικασία για επαλήθευση. Η κουλτούρα ασφάλειας αποτυγχάνει όταν η ταχύτητα θεωρείται πάντα πιο σημαντική από τον έλεγχο.
Τι πρέπει να μετρά η διοίκηση
Χρήσιμες μετρήσεις είναι ο χρόνος αναφοράς ύποπτου email, το ποσοστό λογαριασμών με MFA, ο αριθμός χρηστών με υπερβολικά δικαιώματα και η συχνότητα δοκιμών αποκατάστασης. Το ζητούμενο δεν είναι να μη γίνει ποτέ λάθος, αλλά να εντοπίζεται γρήγορα και να μην εξαπλώνεται.
Πηγή τεχνικής ενημέρωσης: Microsoft Security. Η αναφορά αφορά καμπάνια που παρατήρησε ο συγκεκριμένος πάροχος και δεν αποτελεί πλήρη απογραφή όλων των επιθέσεων στον κλάδο.
