Sophos X-Ops ha lanciato un avvertimento al settore alberghiero riguardo a una nuova campagna malspam denominata “Inhospitality” che sta prendendo di mira gli hotel in tutto il mondo. Questa campagna sfrutta il social engineering per condurre attacchi malware di password-stealing contro il front desk degli hotel.
La campagna “Inhospitality” utilizza e-mail di reclamo apparentemente legate a problemi di servizio o richieste di informazioni come esche per ingannare i destinatari. Gli aggressori, una volta ottenuta la fiducia della vittima, inviano link dannosi contenenti payload malware.
Il modus operandi di questa campagna richiama una precedente scoperta di Sophos X-Ops nel 2023, durante la scadenza della dichiarazione dei redditi negli Stati Uniti. I cybercriminali contattano inizialmente le vittime tramite e-mail testuali, per poi inviare messaggi di follow-up che sembrano contenere dettagli su richieste o reclami precedenti.
I messaggi di reclamo spaziano da accuse di comportamenti violenti da parte del personale dell’hotel a presunte perdite o furti di oggetti nelle stanze degli ospiti. Le richieste di informazioni includono domande sull’accessibilità per ospiti disabili o anziani o richieste di supporto per riunioni di lavoro.
Una volta che l’hotel risponde alla domanda iniziale chiedendo maggiori informazioni, l’aggressore invia un secondo messaggio con un link a documentazione apparentemente correlata alla richiesta, che in realtà contiene il malware. I collegamenti puntano spesso a servizi di archiviazione cloud pubblici, come Google Drive, e il corpo del messaggio contiene una password (solitamente numerica) per aprire il file.
Questa campagna evidenzia l’importanza per il settore alberghiero di essere vigile contro attacchi di social engineering e di adottare misure di sicurezza aggiuntive per proteggere i propri sistemi e i dati sensibili dei clienti.
