El auge del phishing en el sector hotelero: conclusiones de nuestra investigación

Qué está pasando

Durante las últimas semanas hemos investigado varias campañas de phishing dirigidas a los huéspedes de hoteles con los que trabajamos, analizando por ingeniería inversa la infraestructura que emplean los atacantes. Lo que hemos encontrado no responde a un incidente aislado, sino a una operación organizada que se repite de un hotel a otro y que se ha vuelto considerablemente más elaborada con el paso del tiempo.

A diferencia del correo fraudulento genérico al que estábamos acostumbrados, en estas campañas el atacante se dirige directamente al huésped por WhatsApp o por SMS empleando los datos reales de su reserva, como su nombre, las fechas de su estancia, el localizador o el importe que ha abonado. Con toda esa información delante, le solicita que confirme o verifique el pago a través de un enlace, y dado que cuanto lee coincide con los detalles de su reserva auténtica, el huésped confía en el mensaje y termina introduciendo los datos de su tarjeta en una web fraudulenta.

En las dos imágenes que siguen puede observarse cómo se desarrolla el engaño. En primer lugar aparece el mensaje que recibe el huésped y, a continuación, la web de pago falsa a la que conduce el enlace.

Por qué resulta tan eficaz

Este fraude resulta tan eficaz porque el mensaje no presenta el aspecto de un engaño. Llega acompañado de una información que, en principio, solo debería obrar en poder del hotel, y esa coincidencia basta para desarmar la desconfianza natural del huésped. Si el atacante dispone de esos datos es porque la información de la reserva ha terminado filtrándose en algún punto de su recorrido, y toda fuga de datos personales constituye, por definición, una brecha de seguridad con todas las obligaciones legales que ello acarrea.

La magnitud del ataque

Conviene entender que nada de esto es obra de un aficionado ni un episodio puntual. Detrás se encuentra una operación industrial de phishing como servicio, gestionada por un grupo especializado al que la comunidad de seguridad sigue la pista bajo el nombre de GrayBravo, que pone su infraestructura a disposición de terceros y la renueva de forma constante. Nuestra investigación, cruzada con la información pública disponible, permite dimensionar el alcance real de la campaña, tanto a escala global como en España.

La cifra que mejor explica por qué resulta tan difícil de atajar es la última. Cada web fraudulenta vive apenas unas horas antes de ser bloqueada, y en su lugar aparecen dominios nuevos a diario, de modo que la campaña se mantiene activa de forma continua y esquiva los bloqueos tradicionales. Que se hayan identificado más de quince hoteles españoles dentro de la infraestructura confirma, además, que no se trata de un problema lejano, sino de una amenaza que ya opera dentro de nuestro mercado.

La tentación de señalar al proveedor

Cuando se descubre un caso así, la reacción más inmediata consiste en dirigir la mirada hacia el motor de reservas o el channel manager y esperar a que sean ellos quienes confirmen o descarten que el problema se encuentra en su lado. Preguntar es del todo razonable, y nosotros mismos lo hemos hecho, pero conviene no dar el asunto por resuelto con esa única respuesta, por dos motivos.

El primero es que no existe un único responsable evidente. Los hoteles afectados trabajan con proveedores distintos, y la información de una reserva atraviesa numerosas manos antes de que se complete una estancia, desde el propio correo del hotel hasta el channel manager, el PMS, el CRM, la herramienta de check-in o los archivos que se exportan por el camino. La filtración puede haberse producido en cualquiera de esos eslabones, sin que quepa descartar un ordenador de la recepción infectado dentro del propio establecimiento.

El segundo es que el hecho de que un proveedor revise sus registros y no encuentre nada no equivale a garantizar que la información no haya salido de sus sistemas. Resulta habitual, y por completo legítimo, que un proveedor examine sus accesos de buena fe y comunique que no ha detectado ninguna intrusión, pero esa comprobación no cierra el asunto para el hotel, porque ante la Agencia Española de Protección de Datos quien responde por los datos de los huéspedes sigue siendo el establecimiento.

El hotel es el responsable, aunque la fuga proceda de un tercero

Conviene tener presente un punto que a menudo se pasa por alto. Ante el Reglamento General de Protección de Datos, el responsable del tratamiento de los datos de los huéspedes es el hotel. Un motor de reservas o un PMS actúan como encargados que tratan esa información por cuenta del establecimiento, pero la obligación de reaccionar ante un incidente recae sobre el hotel y no puede delegarse en terceros.

En términos prácticos, esto implica que, en cuanto aparecen indicios de que se han filtrado datos personales, y la recepción por parte de un huésped de un mensaje con su localizador correcto constituye uno de ellos, el hotel debe notificar la brecha a la Agencia Española de Protección de Datos dentro de las 72 horas siguientes al momento en que tiene constancia de ella. No es necesario haber resuelto el incidente por completo para dar ese paso, ya que la propia normativa contempla una notificación preliminar en la que se expone lo que se conoce hasta la fecha junto con el análisis que se llevará a cabo después, y que más tarde puede ampliarse conforme avanza la investigación. Cuando además hay datos de pago implicados, el riesgo para el huésped es elevado, por lo que habrá que valorar la comunicación directa a los afectados y documentar con cuidado cada una de las decisiones que se adopten.

Ser víctima del ataque no exime de ninguna de estas obligaciones. Lo que la autoridad valora no es que el hotel haya sufrido el ataque, sino la diligencia con la que este detecta, contiene y comunica el incidente.

Confirmar el origen en lugar de quedarse en la sospecha

Media una diferencia considerable entre sostener que, con toda probabilidad, el origen no se encuentra en el hotel y poder demostrar con evidencias de dónde salió realmente la información. Solo esta segunda posición ofrece verdadera tranquilidad y solo ella sostiene una defensa sólida ante la Agencia de Protección de Datos, y lo cierto es que alcanzarla está más al alcance de lo que suele suponerse, sin necesidad de grandes despliegues técnicos.

En los hoteles con los que trabajamos podemos poner en marcha, sin apenas complejidad, las herramientas necesarias para llevar a cabo ese análisis forense. Con ellas resulta posible comprobar si los equipos de recepción y de reservas se encuentran infectados con algún programa dedicado al robo de credenciales, revisar los accesos y las reglas de reenvío configuradas en los buzones de correo y reconstruir el recorrido que ha seguido el dato hasta llegar a manos del atacante. Merece la pena insistir en que pasar un antivirus no es suficiente, ya que esta clase de programas se diseña precisamente para operar sin que él los detecte, y lo que se necesita es un análisis riguroso que permita afirmar, con pruebas en la mano, si la brecha se sitúa dentro del hotel o en un tercero.

Qué conviene hacer

Con independencia de dónde acabe situándose el origen, hay una serie de medidas que conviene adoptar cuanto antes:

• Cambiar las contraseñas de todos los extranets de reservas (Booking, Expedia, Agoda y cualesquiera otros) desde un equipo que se sepa limpio, y activar en cada uno de ellos la verificación en dos pasos.
• Avisar a los huéspedes con reservas próximas y recordarles que el hotel nunca les solicitará los datos de su tarjeta a través de WhatsApp ni mediante un enlace, para que sepan reconocer el fraude si lo reciben.
• Aislar y revisar cualquier equipo desde el que se haya podido abrir un archivo sospechoso antes de volver a utilizarlo.
• Notificar la brecha a la Agencia Española de Protección de Datos, aunque sea de manera preliminar, y valorar la comunicación a los afectados, dejando constancia documental de todo el proceso.
• Poner en marcha un análisis que permita confirmar el origen de la fuga en lugar de conformarse con la sospecha, que es la única vía para cerrar el incidente con certeza.