Cybersécurité : de faux clients et de fausses notifications Booking[.]com ciblent les hôtels selon une recherche de Bitdefender

Bitdefender, leader mondial de la cybersécurité, alerte sur de nouvelles campagnes de phishing visant directement les professionnels de l’hôtellerie. Après avoir récemment observé des attaques ciblant les voyageurs en usurpant l’identité d’établissements, Bitdefender Antispam Lab observe désormais des tentatives visant les équipes chargées des réservations. Ces attaques interviennent en pleine période de forte activité touristique, alors que les hôtels traitent quotidiennement un volume important de demandes et de messages clients.

Les chercheurs ont identifié deux méthodes qui exploitent des situations familières pour réduire la vigilance des employés. La première prend la forme d’une demande de réservation impossible à finaliser. La seconde reproduit des notifications de Booking.com concernant une annulation, une facture ou une demande particulière.

De faux clients détournent le processus de réservation

Dans la première campagne, un prétendu voyageur explique ne pas parvenir à réserver une chambre sur le site de l’hôtel. Il demande au personnel de traiter sa demande manuellement et fournit un lien censé donner accès à sa pièce d’identité et à ses informations de paiement.

Le lien conduit en réalité vers un site externe susceptible de voler des identifiants ou de diffuser un malware. Selon la télémétrie de Bitdefender, cette campagne cible principalement des établissements situés en Europe, en Asie et aux États-Unis. Le piège exploite directement les habitudes du personnel : le ton professionnel, la demande d’assistance et la présence supposée de documents de paiement donnent à l’échange une apparence légitime, tout en incitant l’employé à quitter sa plateforme habituelle.

De fausses notifications Booking.com déclenchent une attaque ClickFix
La seconde campagne reproduit des notifications de Booking.com indiquant qu’un client attend une réponse, demande une facture, annule une réservation ou sollicite une assistance en raison d’une allergie ou d’une difficulté de déplacement. D’après Bitdefender, les établissements les plus ciblés se trouvent en Suisse et au Royaume-Uni.

Lorsqu’un employé clique sur le bouton permettant de répondre, il est redirigé vers un faux site Booking.com. Une page de vérification suivie d’un faux CAPTCHA lui demande d’appuyer sur Windows + R, de coller le contenu du presse-papiers et de valider. Celui-ci contient une commande PowerShell qui télécharge et exécute un malware. Cette technique, appelée ClickFix, ne repose pas sur l’exploitation d’une vulnérabilité. Elle conduit la victime à lancer elle-même la commande malveillante en lui faisant croire qu’elle accomplit une vérification légitime.

Une compromission susceptible de s’étendre à tout l’établissement

Une compromission peut permettre aux attaquants de dérober les identifiants des employés, d’accéder aux comptes utilisés sur les plateformes de réservation, de collecter des données clients ou de prendre le contrôle à distance des postes. Les attaques ClickFix peuvent également servir à installer d’autres logiciels malveillants, notamment des voleurs d’informations, des chevaux de Troie d’accès à distance ou des ransomwares.

Bitdefender recommande de vérifier les demandes inhabituelles directement dans l’extranet officiel de Booking.com ou dans la plateforme de réservation concernée. Les dates et les liens doivent également être contrôlés. Certaines campagnes observées comportent notamment des incohérences dans les informations de réservation, comme une date de départ antérieure à la date d’arrivée.

Plus d’informations disponibles dans l’article de blog correspondant.