Woche 9: Hotels und ihre Gäste sind immer wieder im Visier von Cyberkriminellen

04.03.2025 - Das Bundesamt für Cybersicherheit (BACS) hat im Rahmen des Wochenrückblicks bereits mehrfach über Cyberangriffe auf Hotels und deren Gäste berichtet. In den letzten Tagen hat das BACS wieder mehrere solche Meldungen von Hotelgästen erhalten. Meist hat dies folgende Ursache: Die betroffenen Hotels sind Opfer eines Cyberangriffs geworden und die Angreifer hatten dadurch Zugriff auf die Reservierungsdaten.

Meldungen zu gezielten Phishing-E-Mails an die Hotelgäste, die beim BACS eingehen, lassen nur einen Schluss zu: Die betroffenen Hotels sind Opfer eines Cyberangriffs geworden. Dabei konnten die Angreifer auf sensible Reservierungsdaten zugreifen – eine ernste Bedrohung für die betroffenen Hotels und deren Gäste. In den E-Mails und Textnachrichten an die Hotelgäste heisst es meist, dass bei der Buchung etwas schief gelaufen sei und man sich noch einmal anmelden und die Kreditkartendaten eingeben müsse. In einem weiteren Fall wurden Hotelgäste gebeten, eine Zahlung von über CHF 2000 auf eine ausländische IBAN zu tätigen und den Beleg als Beweis an das vermeintliche Hotelportal zu senden. Anhand von aktuellen Beispielen zeigt dieser Wochenrückblick sowohl die Angriffmuster aus Sicht des Hotels als auch aus Sicht des Gastes.

Der Cyberangriff aus der Perspektive des Hotels

Um die Angestellten eines Hotels zur Installation einer Schadsoftware zu verleiten, geben sich die Angreifer als Gast aus und täuschen verschiedene Situationen vor. In einem Fall wurde vom vermeintlichen Gast beispielsweise behauptet, dass es während des Hotelaufenthaltes Probleme gegeben habe, die noch nicht gelöst worden seien. Einzelheiten seien auf der Buchungsplattform «booking.com» hinterlegt. In einem anderen Fall behaupteten die Angreifer, dass zwar eine Zahlung für das Hotelzimmer erfolgt sei, diese jedoch anschliessend wieder gelöscht worden sei und das Hotel nun unbedingt bei der Lösung des Vorfalls behilflich sein müsse. Auch hier wird angeblich ein Link zum Buchungsportal angegeben. Beim Anklicken des Links öffnet sich jedoch nicht «booking.com», sondern das Hotel wird auf eine völlig andere, von den Betrügern erstellte Seite weitergeleitet.

E-Mail eines angeblichen Gastes an ein Hotel. Der Angreifer will die Angestellten des Hotels dazu verleiten, auf den Link zu klicken.

Nach dem Anklicken des Links wird aber nicht sofort die Seite geöffnet. Zuerst erscheint ein sogenanntes Captcha bei dem man beweisen soll, dass man ein Mensch und kein Roboter ist. Solche Captchas werden mittlerweile zum Schutz bei vielen Webseiten eingesetzt und sind somit nicht unüblich. Meist geht es um Rechenaufgaben, die gelöst oder um Gegenstände, die zugeordnet werden müssen. In diesem Fall soll allerdings die Windows-Taste und die R-Taste gedrückt werden. Anschliessend soll man gleichzeitig die Taste «Control» und die «V»-Taste drücken und das Ganze mit der Taste «Enter» bestätigen.

Angebliches Captcha mit dem man beweisen soll, dass man ein Mensch ist. Mit der Tastenkombination installiert man aber Schadsoftware auf dem Computer.

Befolgt man diese Anweisung, wird der Computer mit hoher Wahrscheinlichkeit mit Schadsoftware infiziert. Wir haben dieses Vorgehen bereits bei der Malware Lumma Stealer beobachtet und in einem Wochenrückblick beschrieben. Beim Laden der Seite wird ein Schadcode automatisch in den Zwischenspeicher kopiert und mit der oben beschriebenen Tastenkombination auf dem betroffenen Computer ausgeführt. So wird die Schadsoftware heruntergeladen und auf dem betroffenen Gerät installiert. Handelt es sich dabei um einen Computer, der Zugriff auf das Hotelbuchungssystem hat, verfügen die Angreifer nun über alle notwendigen Daten, um die Gäste anzugreifen.

Der Cyberangriff aus der Perspektive des Gastes

Das BACS hat in den vergangenen Wochen verschiedene Varianten von Phishing-Angriffen auf Hotelgäste mit unterschiedlicher Qualität beobachtet. Bei einer Variante sendeten die Angreifer eine einfache SMS mit einer korrekten Anrede, einem Link und dem Hinweis, dass es sich um eine wichtige Information des Hotels handle. Klickt das Opfer auf den Link, öffnet sich eine Buchungsseite im Stil eines Hotels. Dort wird die Eingabe der Kreditkartendaten verlangt.

Betrügerische SMS mit korrekter Anrede, die den Hotelgast auffordert, auf den Link zu klicken.

In einer anderen Variante erhielt das Opfer eine E-Mail vom Hotel mit einem Link zu einem täuschend echt imitierten Buchungsportal von «booking.com». Um die Buchung zu bestätigen, sollte das Opfer über CHF 2000 auf eine IBAN überweisen und anschliessend den Zahlungsbeleg auf das Portal hochladen. Verdächtig ist neben der ungewöhnlichen Zahlungsmodalität auch die Tatsache, dass es sich nicht um eine schweizer, sondern um eine ausländische IBAN handelt. Die Täter setzen das Opfer zudem unter Druck, man habe 48 Stunden Zeit, sonst verfalle die Reservierung. Dies ist ein typischer Trick, das Opfer mit einem Zeitlimit unter Druck zu setzen und so zu verhindern, dass Zweifel an der Vorgehensweise aufkommen.

Buchungsbestätigung im Stil von booking.com. Um die Bestätigung abzuschliessen, soll der geforderte Betrag auf die angegebene IBAN überwiesen und der Beleg auf die Seite hochgeladen werden.

Massnahmen für Hotels:

Gerade Hotels müssen viele Dokumente öffnen, die von Gästen übermittelt werden. Ausführbare Dateien dürfen aber unter keinen Umständen geöffnet werden;
Seien Sie vorsichtig bei der Installation von Programmen. Laden Sie Programme nur aus sicheren und vertrauenswürdigen Quellen herunter;
Seien Sie bei ungewöhnlichen CAPTCHAs vorsichtig;
Nehmen Sie den Computer beim Verdacht einer Infektion umgehend offline und ändern Sie bei allen Online-Zugängen Ihre Passwörter von einem anderen, nicht betroffenen Computer aus. Wenden Sie sich an eine Computerfachperson;
Regelmässige Backups erleichtern die Wiederherstellung Ihrer Daten;
Halten Sie die Systeme immer auf dem neuesten Stand;
Überlegen Sie sich eine Strategie, bei der die Computer für die Gästekommunikation vom restlichen Netz abgetrennt sind.

Massnahmen für Hotelgäste:

Generell gilt: Geben Sie keine Passwörter oder Kreditkarten auf Webseiten an, die Sie über einen Link in einer E-Mail oder einer Textnachricht geöffnet haben;
Keine Bank und kein Kreditkarteninstitut und auch kein Hotel wird Sie jemals per E-Mail auffordern, Passwörter zu ändern oder Kreditkartendaten zu verifizieren;
Informieren Sie umgehend das Hotel und die Buchungsplattform, wenn Sie eine solche Phishing-E-Mail erhalten;
Vorsicht bei E-Mails, die eine Aktion von Ihnen verlangen. Dabei kann es sich beispielsweise um das Anklicken eines Links oder das Öffnen eines Anhangs handeln;
Bedenken Sie, dass Absender von E-Mails oder SMS leicht gefälscht werden können;
Installieren Sie, wenn immer möglich eine Zwei-Faktor-Authentifizierung. Dies bietet eine zusätzliche Schutzebene, um zu verhindern, dass Ihr Konto gehackt wird.

Aktuelle Zahlen und Statistiken

Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter:

Aktuelle Zahlen