Una estafa de viajes se vuelve más precisa
Investigadores de seguridad dicen que los ciberdelincuentes están usando datos reales de reservas de hotel para hacer que los ataques de phishing sean mucho más convincentes. Según hallazgos publicados por WIRED, los datos de clientes de más de 350 hoteles, alquileres vacacionales, moteles y casas de huéspedes en 50 países podrían haber sido accedidos y reutilizados para crear mensajes de estafa altamente dirigidos.
La táctica va más allá del fraude de viajes genérico. Los investigadores afirman que los atacantes están creando mensajes con nombres de reserva específicos, precios y detalles de entrada y salida, y luego enviando a las víctimas enlaces diseñados para robar información de tarjetas de crédito. Eso convierte un señuelo de phishing ordinario en una operación de spear phishing construida sobre datos legítimos de reservas.
Por qué la estafa es difícil de detectar
Gen, la empresa matriz de Norton, analizó mensajes de phishing y la infraestructura de ciberdelincuencia vinculada a la campaña. La investigación sugiere que, cuando una víctima recibe un mensaje de WhatsApp, SMS o correo electrónico que hace referencia exacta al hotel y a las fechas de una reserva real, las señales de alerta habituales se vuelven menos obvias.
Ese es el peligro principal. Muchos usuarios han aprendido a ignorar mensajes vagos del tipo “hay un problema con tu reserva”. Pero una nota fraudulenta que incluya detalles de viaje correctos puede parecer una solicitud rutinaria de un hotel o de una plataforma de reservas. Los investigadores citados en el informe describieron la operación como verdaderamente dirigida porque usa información real de reservas en lugar de simples conjeturas.
Cientos de propiedades, decenas de países
El informe dice que al menos 350 alojamientos en 50 países quedaron atrapados en el ecosistema de la estafa. Alemania habría tenido el mayor número de hoteles potencialmente afectados, seguida por Francia, el Reino Unido, Italia, España y Estados Unidos. Los investigadores estiman que los alojamientos mencionados, en conjunto, podrían hospedar a unas 80,000 personas en plena capacidad.
La mayoría de las propiedades afectadas se describen como hoteles pequeños y medianos, en lugar de grandes cadenas. Ese detalle importa porque los operadores más pequeños pueden tener menos recursos internos de seguridad y depender más de sistemas de terceros, lo que aumenta la exposición a la toma de cuentas o al robo de datos.
Parte de una máquina de phishing más grande
El fraude vinculado a hoteles no es nuevo, pero los hallazgos encajan en un patrón más amplio en el que los operadores de phishing como servicio siguen ampliando sus repertorios. La fuente señala que estos kits ya ayudan a los delincuentes a enviar millones de mensajes de estafa de entregas y peajes cada mes, a menudo suplantando a grandes marcas a gran escala.
La variante ligada a hoteles es especialmente potente porque los viajes son, por naturaleza, sensibles al tiempo y disruptivos. Es más probable que la gente actúe rápido si cree que una reserva podría cancelarse o que un problema de pago podría bloquear el registro. Esa urgencia, combinada con detalles precisos, crea condiciones ideales para el fraude.
El contexto financiero
Los riesgos no son teóricos. El informe cita datos recién publicados del FBI que muestran que los estadounidenses perdieron más de 200 millones de dólares por intentos exitosos de phishing el año pasado. La táctica de reservas de hotel ayuda a explicar por qué las pérdidas por phishing siguen siendo altas incluso cuando mejora la conciencia pública. Los atacantes se están adaptando al hacer que las estafas sean más específicas, más contextuales y más difíciles de distinguir de mensajes legítimos de servicio.
Lo que señala la historia
La lección más amplia es que una filtración de datos no necesita exponer contraseñas o tarjetas de pago directamente para volverse peligrosa. Solo los metadatos de una reserva pueden ser suficientes para construir un ataque de ingeniería social muy eficaz. Eso convierte a los sistemas de reservas y a las comunicaciones con socios en una superficie de seguridad más sensible de lo que muchos viajeros quizá imaginan.
Para los hoteles y las plataformas de reservas, la historia recuerda que la confianza del cliente puede dañarse no solo por el fraude directo en sus sitios, sino también por el abuso posterior de datos robados. Para los viajeros, la aparición de estafas realistas de secuestro de reservas significa que el consejo habitual de “vigilar mensajes extraños” ya no es suficiente. Los mensajes extraños ahora pueden parecer casi totalmente normales.
Este artículo se basa en una cobertura de Wired. Lee el artículo original.
Originally published on wired.com
