Δεδομένα Ξενοδοχειακών Πελατών Κλάπηκαν και Διέρρευσαν στο Telegram σε Πραγματικό Χρόνο

Ερευνητές ασφαλείας της Cybernews αποκάλυψαν μια масική επιχείρηση κλοπής δεδομένων που στοχεύει ξενοδοχειακούς πελάτες σε πολλές χώρες. Η επίθεση παραβίασε περισσότερους από 500 λογαριασμούς σε πλατφόρμες διαχείρισης φιλοξενίας, εκθέτοντας τα προσωπικά στοιχεία σχεδόν 5 εκατομμυρίων ταξιδιωτών παγκοσμίως. Αυτό που καθιστά την παραβίαση αυτή ιδιαίτερα ανησυχητική δεν είναι μόνο η κλίμακά της, αλλά και ο τρόπος διανομής: τα κλεμμένα δεδομένα διέρρεαν σε πραγματικό χρόνο μέσω καναλιών Telegram, ενώ ταυτόχρονα αποθηκεύονταν σε έναν μη προστατευμένο διακομιστή.

Οι πλατφόρμες που στοχοποιήθηκαν περιλαμβάνουν την ισπανική Chekin και την αυστριακή Gastrodat, οι οποίες χρησιμοποιούνται από ξενοδοχεία και διαχειριστές ακινήτων για τη διαχείριση check-in επισκεπτών και διοικητικών δεδομένων. Οι χάκερ χρησιμοποίησαν αυτοματοποιημένα scripts για να συλλέξουν συστηματικά ονόματα επισκεπτών, διευθύνσεις email, αριθμούς τηλεφώνου και στοιχεία ταυτότητας από παραβιασμένους λογαριασμούς.

Πώς Λειτούργησε η Επίθεση

Η επιχείρηση βασίστηκε στην παραβίαση διαπιστευτηρίων και όχι σε μια ενιαία καταστροφική παραβίαση μιας πλατφόρμας. Αποκτώντας πρόσβαση σε περισσότερους από 500 μεμονωμένους λογαριασμούς διαχείρισης ακινήτων, οι επιτιθέμενοι μπόρεσαν να αντλήσουν δεδομένα επισκεπτών από τον καθένα χρησιμοποιώντας αυτοματοποιημένα εργαλεία. Αυτός ο τύπος επίθεσης ονομάζεται μερικές φορές credential stuffing ή account takeover, όπου κλεμμένα ή αδύναμα διαπιστευτήρια σύνδεσης χρησιμοποιούνται για πρόσβαση σε νόμιμα συστήματα.

Μόλις αποκτούσαν πρόσβαση, τα scripts συλλέγανν όποια προσωπικά δεδομένα περιείχαν οι λογαριασμοί, συμπεριλαμβανομένου του είδους των πληροφοριών που οι επισκέπτες καλούνται να παρέχουν κατά το check-in σε ξενοδοχείο: πλήρη νόμιμα ονόματα, στοιχεία επικοινωνίας και έγγραφα ταυτότητας. Αυτός ο συνδυασμός δεδομένων είναι ιδιαίτερα πολύτιμος για τους εγκληματίες, καθώς μπορεί να χρησιμοποιηθεί για κλοπή ταυτότητας, εκστρατείες phishing, SIM swapping και άλλες μορφές απάτης.

Η απόφαση να διανεμηθούν τα κλεμμένα δεδομένα μέσω Telegram, αντί να πωληθούν σε παραδοσιακές αγορές του dark web, αντικατοπτρίζει μια ευρύτερη αλλαγή στον τρόπο λειτουργίας των κυβερνοεγκληματιών. Το Telegram έχει γίνει ολοένα και περισσότερο ένα κανάλι διανομής για διαρροές δεδομένων, λόγω της ευκολίας χρήσης και της σχετικά επιεικούς εποπτείας περιεχομένου.

Τι Σημαίνει Αυτό για Εσάς

Εάν έχετε μείνει σε ξενοδοχείο που χρησιμοποιεί τις πλατφόρμες Chekin ή Gastrodat για τη διαχείριση επισκεπτών οποιαδήποτε στιγμή, τα προσωπικά σας στοιχεία ενδέχεται να αποτελούν μέρος αυτού του συνόλου δεδομένων. Ακόμα και αν δεν επηρεαστείτε άμεσα, το περιστατικό αυτό αναδεικνύει μια ευρύτερη ευπάθεια που αντιμετωπίζουν οι ταξιδιώτες: όταν κάνετε check-in σε ένα ξενοδοχείο, παραδίδετε ευαίσθητα προσωπικά δεδομένα με πολύ περιορισμένη ορατότητα ως προς το πώς αποθηκεύονται, ποιος μπορεί να τα προσπελάσει ή πόσο ασφαλώς διαχειρίζονται αυτά τα συστήματα.

Τα εκτεθειμένα δεδομένα εδώ ξεπερνούν έναν απλό συνδυασμό email και κωδικού πρόσβασης. Τα στοιχεία κρατικής ταυτότητας σε συνδυασμό με πλήρες όνομα, αριθμό τηλεφώνου και διεύθυνση email δίνουν σε κακόβουλους επαρκή στοιχεία για να σας υποδυθούν, να ανοίξουν λογαριασμούς στο όνομά σας ή να δημιουργήσουν εξαιρετικά πειστικά μηνύματα phishing προσαρμοσμένα ειδικά για εσάς.

Τα ξενοδοχεία και οι πλατφόρμες διαχείρισης ακινήτων αποτελούν ελκυστικούς στόχους ακριβώς επειδή συλλέγουν πλούσια προσωπικά δεδομένα από μεγάλο αριθμό ατόμων, συχνά με λιγότερο αυστηρές υποδομές ασφαλείας σε σχέση με χρηματοπιστωτικά ιδρύματα ή μεγάλες εταιρείες τεχνολογίας.

Βήματα που Μπορείτε να Κάνετε για να Μειώσετε την Έκθεσή σας

Δεν μπορείτε πάντα να ελέγξετε τι συμβαίνει με τα δεδομένα σας αφού τα παραδώσετε σε μια επιχείρηση, αλλά μπορείτε να λάβετε μέτρα για να περιορίσετε τη ζημιά αν κάτι πάει στραβά.

Παρακολουθείτε τους λογαριασμούς και την ταυτότητά σας. Εάν ταξιδεύετε συχνά, σκεφτείτε να χρησιμοποιήσετε μια υπηρεσία παρακολούθησης ταυτότητας που σας ειδοποιεί όταν τα προσωπικά σας στοιχεία εμφανίζονται σε γνωστές παραβιάσεις δεδομένων ή στον ανοιχτό ιστό.

Χρησιμοποιείτε μοναδικές διευθύνσεις email για κρατήσεις ταξιδιών. Οι υπηρεσίες που σας επιτρέπουν να δημιουργείτε διευθύνσεις email-alias σημαίνουν ότι ακόμα και αν παραβιαστεί ένας λογαριασμός, η έκθεση περιορίζεται.

Να είστε επιφυλακτικοί με ανεπιθύμητη επικοινωνία. Εάν λάβετε email, SMS ή τηλεφώνημα που αναφέρεται σε πρόσφατη διαμονή σε ξενοδοχείο, αντιμετωπίστε το με προσοχή. Οι επιτιθέμενοι χρησιμοποιούν τέτοιες λεπτομέρειες για να κάνουν τις απόπειρες phishing πιο πειστικές.

Ασφαλίστε τις συσκευές και τις συνδέσεις σας όταν ταξιδεύετε. Τα δημόσια δίκτυα σε ξενοδοχεία και αεροδρόμια αποτελούν συνηθισμένα σημεία εισόδου για υποκλοπή δεδομένων. Η χρήση VPN κατά τη σύνδεση σε δημόσιο WiFi κρυπτογραφεί την κίνησή σας και μειώνει τον κίνδυνο παρακολούθησης ή υποκλοπής της δραστηριότητάς σας.

Ελέγξτε ποια δεδομένα διατηρούν οι πλατφόρμες για εσάς. Σε πολλές χώρες, ιδίως εντός της Ευρωπαϊκής Ένωσης, έχετε το δικαίωμα να ζητήσετε ποια προσωπικά δεδομένα διατηρεί μια εταιρεία και να ζητήσετε τη διαγραφή τους. Εάν έχετε μείνει σε ακίνητα που χρησιμοποιούν πλατφόρμες όπως η Chekin ή η Gastrodat, μπορείτε να επικοινωνήσετε απευθείας με αυτές τις πλατφόρμες.

Αυτή η παραβίαση αποτελεί υπενθύμιση ότι τα προσωπικά σας δεδομένα ταξιδεύουν μαζί σας, συχνά με τρόπους που δεν μπορείτε να δείτε ή να ελέγξετε. Το να παραμένετε ενημερωμένοι για το πού πηγαίνουν τα στοιχεία σας και να λαμβάνετε πρακτικά μέτρα για να περιορίσετε την έκθεσή σας αποτελεί την πιο αποτελεσματική άμυνα που διαθέτουν οι απλοί ταξιδιώτες αυτή τη στιγμή.