Phishing SMS. Uwaga na wiadomości z danymi rezerwacji

Podejrzane SMS-y trafiają do odbiorców m.in. jako wiadomości podpisane "Booking OTO" lub "Reception". W ich treści pojawiają się dane, które mają uwiarygodnić kontakt: imię i nazwisko osoby rezerwującej, nazwa obiektu noclegowego oraz daty planowanego pobytu. To, że w kolejnych wiadomościach widoczne są różne szczegóły, sugeruje działania celowane – nie jest to typowa masowa wysyłka identycznego komunikatu.

Z ustaleń CERT Orange Polska wynika, że podstawiona witryna potrafi wyświetlić komplet informacji dotyczących rezerwacji, również kwotę do zapłaty. Taki poziom szczegółowości może wskazywać, że przestępcy uzyskali dostęp do kont większej liczby obiektów noclegowych.

Schemat ataku prowadzi użytkownika dalej: po pierwszym ekranie pojawia się kolejna strona z żądaniem podania danych karty płatniczej. Dodatkowo wyświetlane jest okno z zapewnieniem, że chodzi tylko o "weryfikację" karty, a losowo pobrana kwota ma natychmiast wrócić na konto. W praktyce wpisane informacje są przejmowane przez oszustów.

CERT Orange Polska ostrzega, że w czasie gdy wyświetlany jest ekran związany z przetwarzaniem danych, przestępcy mogą próbować od razu wykonać zakup przy użyciu karty, której dane właśnie wyłudzili. W takich przypadkach kluczowa jest szybka reakcja – zwłoka może zwiększać ryzyko utraty pieniędzy.

Kampania bywa trudna do rozpoznania, bo bazuje na prawdziwych danych rezerwacji, a nazwy nadawców przypominają legalną korespondencję. Najważniejszym elementem, który powinien wzbudzić czujność, pozostaje adres strony – wykorzystywane domeny są konstruowane tak, by kojarzyły się z rezerwacjami, turystyką lub samym Booking.

Eksperci zalecają, by przy jakichkolwiek wątpliwościach nie podawać na stronie żadnych informacji. W przypadku Booking płatności należy realizować wyłącznie w domenie booking.com. CERT Orange Polska podkreśla też, że samo wejście na stronę nie musi oznaczać utraty danych, jednak jeśli formularz wygląda podejrzanie, należy go zamknąć i nie wpisywać żadnych danych.