Un nuevo esquema de ataque por correo electrónico apunta al sector de la hostelería

Kaspersky ha descubierto un nuevo esquema fraudulento dirigido a propietarios y personal de hoteles, con estafadores que intentan robar credenciales o infectar ordenadores con malware. Los correos electrónicos que se hacen pasar por correspondencia de antiguos o potenciales huéspedes, explotan el servicio al cliente que tienen de estos negocios para atrapar a las víctimas.

Desde el verano pasado, tanto propietarios como empleados de hoteles han estado recibiendo correos electrónicos maliciosos disfrazados de correspondencia legítima de huéspedes anteriores o potenciales. Estos correos imitan consultas o quejas de los huéspedes, enviados a las direcciones de correo electrónico públicas del hotel, o aparecen como solicitudes urgentes de Booking para contestar los comentarios de usuarios que supuestamente recibió la plataforma. Sin embargo, la realidad detrás de estos mensajes es que provienen de atacantes que intentan hacerse con las credenciales de inicio de sesión de los empleados o infectar los sistemas de los hoteles con malware.

Al desafío de identificar la amenaza se suma el hecho de que los atacantes no necesitan crear una dirección de correo electrónico específica para cada negocio. El personal del hotel recibe rutinariamente consultas y quejas de los huéspedes a través de servicios gratuitos de correo electrónico, entre los más comunes Gmail, por lo que se aprovechan de la plataforma de mensajería para contactar con ellos. Esto hace que sea difícil distinguir entre mensajes legítimos y mensajes que contienen amenazas por correo electrónico. Dado el alto valor que se le da a la reputación en el sector hotelero, el personal tiende a responder rápidamente a estos correos electrónicos, aumentado la probabilidad caer en la trampa, accediendo a enlaces maliciosos o abriendo archivos adjuntos dañinos.

Los correos electrónicos fraudulentos suelen clasificarse en dos categorías. La primera incluye quejas de antiguos huéspedes que describen experiencias negativas, como mal servicio por parte del personal o habitaciones sucias, a veces acompañados de referencias a fotos o videos. El objetivo es incitar al personal a que accedan a los enlaces o abrir archivos adjuntos que contienen malware. La segunda categoría incluye correos electrónicos que imitan consultas de potenciales huéspedes. Estos correos preguntan sobre comodidades, precios, disponibilidad, o buscan ayuda con la planificación del viaje. El objetivo del ataque aparentemente es recolectar credenciales para usarlas en futuros planes de ataque o venderlas en foros de la darknet.

“Los atacantes suelen explotar los aspectos más vulnerables de un negocio para alcanzar sus objetivos. En este caso, se aprovechan de la dedicación de los empleados de servicio del hotel que se esfuerzan por destacar en la atención al cliente. Al imitar consultas o quejas de los huéspedes, manipulan el compromiso del personal para resolver problemas rápidamente, aumentando así la probabilidad de ser víctimas de esquemas fraudulentos. Para protegerse contra estos ataques, las empresas deben implementar sistemas sólidos de filtrado de correos electrónicos, proporcionar capacitación regular para los empleados sobre el reconocimiento de intentos maliciosos y establecer protocolos para verificar la autenticidad de solicitudes urgentes antes de responder”, comenta Anna Lazaricheva, analista de spam en Kaspersky.

Según el informe anual de spam y phishing de Kaspersky, el phishing por correo electrónico y el malware continúan representando una amenaza cibernética significativa. El año pasado, Kaspersky’s Mail Anti-Virus bloqueó 135.980.457 archivos adjuntos de correos electrónicos maliciosos, mientras que el sistema Anti-Phishing evitó 709.590.011 intentos de acceder a enlaces de phishing. Los correos electrónicos de phishing y maliciosos frecuentemente se hacen pasar por entidades de confianza y utilizan tácticas sofisticadas de ingeniería social para engañar a los destinatarios y hacer que revelen información sensible o interactúen con enlaces fraudulentos.

Para mantener los datos protegidos contra ataques de phishing y filtraciones, así como prevenir al personal de tu hotel de ser víctima de estos esquemas, los expertos de Kaspersky recomiendan:

• Proporciona a su personal formación básica en higiene de ciberseguridad con Kaspersky Security Awareness. Realiza un ataque de phishing simulado para asegurarse de que tus empleados sepan cómo distinguir los correos electrónicos de phishing.
• Utiliza soluciones de protección para servidores de correo con capacidades anti-phishing, para disminuir la posibilidad de infección a través de un correo electrónico de phishing. Kaspersky Security for Mail Server previene que sus empleados y su negocio sean estafados por fraudes diseñados socialmente.
• Usa una solución de protección para endpoints y servidores de correo con capacidades anti-phishing, como Kaspersky Endpoint Security for Business, para disminuir la posibilidad de infección a través de un correo electrónico de phishing.
• Si utilizas el servicio en la nube Microsoft 365, no olvides protegerlo también. Kaspersky Security for Microsoft Office 365 tiene una función anti-spam y anti-phishing dedicada, así como protección para las aplicaciones SharePoint, Teams y OneDrive para comunicaciones empresariales seguras.
• Utiliza soluciones ligeras y fáciles de gestionar, pero aún efectivas, como Kaspersky Small Office Security. Ayuda a prevenir ser bloqueado de su propia computadora debido a correos electrónicos de phishing o archivos adjuntos maliciosos.
• Encuentra una solución dedicada para pequeñas y medianas empresas con gestión simple y características de protección probadas; como Kaspersky Endpoint Security Cloud. Threat Protection, Mail Threat Protection, Network Threat Protection, and Web Threat Protection incluyen tecnologías que protegen a los usuarios de malware, phishing y otros tipos de amenazas.

Lea más sobre esta campaña de ataque mediante el correo electrónico en Kaspersky Daily.