Vermehrt Cyber-Attacken auf Hotels und Gäste in der Schweiz

Hoteliers aufgepasst! Das Bundesamt für Cybersicherheit (BACS) registrierte in den letzten Wochen mehrere Cyberangriffe auf Hotels, bei denen die Hacker auf sensible Reservierungsdaten von Gästen zugreifen konnten. Dabei meldeten sich die Kriminellen per Mail als vermeintliche Gäste und täuschten verschiedene Situationen vor, um die Hotels zur unwissentlichen Installation von Schadsoftware zu verleiten. Was können Hotels und Gäste dagegen tun?

In einem Fall wurde vom vermeintlichen Gast behauptet, dass es während seines Hotelaufenthaltes Probleme gegeben habe, die noch nicht gelöst worden seien. Einzelheiten seien bei Booking hinterlegt. In einem anderen Fall behaupteten die Angreifer, dass zwar eine Zahlung für das Hotelzimmer erfolgt sei, diese jedoch wieder gelöscht worden sei und das Hotel nun bei der Lösung der Angelegenheit behilflich sein müsse. Auch hier wird ein vermeintlicher Link zu Booking angegeben. Beim Anklicken des Links öffnet sich jedoch nicht die Booking-Website, sondern eine von den Betrügern erstellte Seite.

Nach dem Anklicken des Links wird nicht sofort die Seite geöffnet. Zuerst erscheint ein sogenanntes Captcha bei dem man beweisen soll, dass man ein Mensch und kein Roboter ist. Folgt man den Anweisungen, wird mit hoher Wahrscheinlichkeit Schadsoftware auf dem eigenen System installiert. „Handelt es sich dabei um einen Computer, der Zugriff auf das Hotelbuchungssystem hat, verfügen die Angreifer nun über alle notwendigen Daten, um die Gäste anzugreifen“, schreibt das Bundesamt.

Ratschläge des Bundesamtes für Cybersicherheit an Hotels

Generell gilt: Geben Sie keine Passwörter oder Kreditkarten auf Webseiten an, die Sie über einen Link in einer E-Mail oder einer Textnachricht geöffnet haben;
Keine Bank und kein Kreditkarteninstitut und auch kein Hotel wird Sie jemals per E-Mail auffordern, Passwörter zu ändern oder Kreditkartendaten zu verifizieren;
Informieren Sie umgehend das Hotel und die Buchungsplattform, wenn Sie eine solche Phishing-E-Mail erhalten;
Vorsicht bei E-Mails, die eine Aktion von Ihnen verlangen. Dabei kann es sich beispielsweise um das Anklicken eines Links oder das Öffnen eines Anhangs handeln;
Bedenken Sie, dass Absender von E-Mails oder SMS leicht gefälscht werden können;
Installieren Sie, wenn immer möglich, eine Zwei-Faktor-Authentifizierung. Dies bietet eine zusätzliche Schutzebene, um zu verhindern, dass Ihr Konto gehackt wird.

Hacker, der in Hotelwebseiten eindringt.

Langtextfassung: Hotels im Visier von Cyberkriminellen

Meldungen zu gezielten Phishing-E-Mails an die Hotelgäste, die beim BACS eingehen, lassen nur einen Schluss zu: Die betroffenen Hotels sind Opfer eines Cyberangriffs geworden. Dabei konnten die Angreifer auf sensible Reservierungsdaten zugreifen – eine ernste Bedrohung für die betroffenen Hotels und deren Gäste. In den E-Mails und Textnachrichten an die Hotelgäste heisst es meist, dass bei der Buchung etwas schief gelaufen sei und man sich noch einmal anmelden und die Kreditkartendaten eingeben müsse. In einem weiteren Fall wurden Hotelgäste gebeten, eine Zahlung von über CHF 2000 auf eine ausländische IBAN zu tätigen und den Beleg als Beweis an das vermeintliche Hotelportal zu senden. Anhand von aktuellen Beispielen zeigt dieser Bericht sowohl die Angriffmuster aus Sicht des Hotels als auch aus Sicht des Gastes.

Der Cyberangriff aus der Perspektive des Hotels

Um die Angestellten eines Hotels zur Installation einer Schadsoftware zu verleiten, geben sich die Angreifer als Gast aus und täuschen verschiedene Situationen vor. In einem Fall wurde vom vermeintlichen Gast beispielsweise behauptet, dass es während des Hotelaufenthaltes Probleme gegeben habe, die noch nicht gelöst worden seien. Einzelheiten seien auf der Buchungsplattform «booking.com» hinterlegt. In einem anderen Fall behaupteten die Angreifer, dass zwar eine Zahlung für das Hotelzimmer erfolgt sei, diese jedoch anschliessend wieder gelöscht worden sei und das Hotel nun unbedingt bei der Lösung des Vorfalls behilflich sein müsse. Auch hier wird angeblich ein Link zum Buchungsportal angegeben. Beim Anklicken des Links öffnet sich jedoch nicht «booking.com», sondern das Hotel wird auf eine völlig andere, von den Betrügern erstellte Seite weitergeleitet.

Nach dem Anklicken des Links wird aber nicht sofort die Seite geöffnet. Zuerst erscheint ein sogenanntes Captcha bei dem man beweisen soll, dass man ein Mensch und kein Roboter ist. Solche Captchas werden mittlerweile zum Schutz bei vielen Webseiten eingesetzt und sind somit nicht unüblich. Meist geht es um Rechenaufgaben, die gelöst oder um Gegenstände, die zugeordnet werden müssen. In diesem Fall soll allerdings die Windows-Taste und die R-Taste gedrückt werden. Anschliessend soll man gleichzeitig die Taste «Control» und die «V»-Taste drücken und das Ganze mit der Taste «Enter» bestätigen.

Befolgt man diese Anweisung, wird der Computer mit hoher Wahrscheinlichkeit mit Schadsoftware infiziert. Wir haben dieses Vorgehen bereits bei der Malware Lumma Stealer beobachtet und in einem Wochenrückblick beschrieben. Beim Laden der Seite wird ein Schadcode automatisch in den Zwischenspeicher kopiert und mit der oben beschriebenen Tastenkombination auf dem betroffenen Computer ausgeführt. So wird die Schadsoftware heruntergeladen und auf dem betroffenen Gerät installiert. Handelt es sich dabei um einen Computer, der Zugriff auf das Hotelbuchungssystem hat, verfügen die Angreifer nun über alle notwendigen Daten, um die Gäste anzugreifen.

Der Cyberangriff aus der Perspektive des Gastes

Das BACS hat in den vergangenen Wochen verschiedene Varianten von Phishing-Angriffen auf Hotelgäste mit unterschiedlicher Qualität beobachtet. Bei einer Variante sendeten die Angreifer eine einfache SMS mit einer korrekten Anrede, einem Link und dem Hinweis, dass es sich um eine wichtige Information des Hotels handle. Klickt das Opfer auf den Link, öffnet sich eine Buchungsseite im Stil eines Hotels. Dort wird die Eingabe der Kreditkartendaten verlangt.

In einer anderen Variante erhielt das Opfer eine E-Mail vom Hotel mit einem Link zu einem täuschend echt imitierten Buchungsportal von «booking.com». Um die Buchung zu bestätigen, sollte das Opfer über CHF 2000 auf eine IBAN überweisen und anschliessend den Zahlungsbeleg auf das Portal hochladen. Verdächtig ist neben der ungewöhnlichen Zahlungsmodalität auch die Tatsache, dass es sich nicht um eine Schweizer, sondern um eine ausländische IBAN handelt. Die Täter setzen das Opfer zudem unter Druck, man habe 48 Stunden Zeit, sonst verfalle die Reservierung. Dies ist ein typischer Trick, das Opfer mit einem Zeitlimit unter Druck zu setzen und so zu verhindern, dass Zweifel an der Vorgehensweise aufkommen.

Massnahmen für Hotels

Gerade Hotels müssen viele Dokumente öffnen, die von Gästen übermittelt werden. Ausführbare Dateien dürfen aber unter keinen Umständen geöffnet werden;
Seien Sie vorsichtig bei der Installation von Programmen. Laden Sie Programme nur aus sicheren und vertrauenswürdigen Quellen herunter;
Seien Sie bei ungewöhnlichen CAPTCHAs vorsichtig;
Nehmen Sie den Computer beim Verdacht einer Infektion umgehend offline und ändern Sie bei allen Online-Zugängen Ihre Passwörter von einem anderen, nicht betroffenen Computer aus. Wenden Sie sich an eine Computerfachperson;
Regelmässige Backups erleichtern die Wiederherstellung Ihrer Daten;
Halten Sie die Systeme immer auf dem neuesten Stand;
Überlegen Sie sich eine Strategie, bei der die Computer für die Gästekommunikation vom restlichen Netz abgetrennt sind.

Massnahmen für Hotelgäste

Generell gilt: Geben Sie keine Passwörter oder Kreditkarten auf Webseiten an, die Sie über einen Link in einer E-Mail oder einer Textnachricht geöffnet haben;
Keine Bank und kein Kreditkarteninstitut und auch kein Hotel wird Sie jemals per E-Mail auffordern, Passwörter zu ändern oder Kreditkartendaten zu verifizieren;
Informieren Sie umgehend das Hotel und die Buchungsplattform, wenn Sie eine solche Phishing-E-Mail erhalten;
Vorsicht bei E-Mails, die eine Aktion von Ihnen verlangen. Dabei kann es sich beispielsweise um das Anklicken eines Links oder das Öffnen eines Anhangs handeln;
Bedenken Sie, dass Absender von E-Mails oder SMS leicht gefälscht werden können;
Installieren Sie, wenn immer möglich eine Zwei-Faktor-Authentifizierung. Dies bietet eine zusätzliche Schutzebene, um zu verhindern, dass Ihr Konto gehackt wird.

Quelle: Bundesamt für Cybersicherheit BACS, März 2025

zur Übersicht