WhatsApp: attenzione alla nuova truffa degli hotel

I ricercatori di Bitdefender hanno descritto una nuova truffa che prende di mira gli utenti WhatsApp. Le ignare vittime ricevono un messaggio che arriva dagli hotel prenotati e sono invitate ad inserire i dati della carta di credito come verifica. Per non cadere nella trappola deve essere controllata la prenotazioni direttamente sul sito degli hotel o sulle piattaforme di intermediazione.

Come funziona la truffa degli hotel

In base alle rilevazioni di Bitdefender, la truffa è iniziata a marzo. I cybercriminali utilizzano messaggi in almeno sei lingue (inglese, tedesco, francese, spagnolo, polacco e rumeno). Le vittime sono in oltre 10 paesi, tra cui Regno Unito, Germania, Polonia, Francia, Romania, Paesi Bassi, Canada, Singapore, Portogallo e Colombia.

A differenza delle tradizionali truffe che riguardano il settore turistico, i cybercriminali non inviano email di phishing generiche. Gli utenti ricevono messaggi WhatsApp che fanno riferimento a prenotazioni reali. Nella comunicazione ci sono nome del cliente, indirizzo email, numero di telefono, date di check-in e check-out, nome dell’hotel e identificativo della prenotazione.

Queste informazioni sono state ottenute dai cybercriminali attraverso l’accesso ai sistemi degli hotel dopo un attacco informatico (data breach). Recentemente sono state individuate comunicazioni che sembrano arrivare da Booking.com. I dipendenti degli hotel cliccano sui link e regalano le credenziali di login ai cybercriminali.

Dopo aver recuperato le informazioni, i truffatori inviano il messaggio WhatsApp per informare i clienti che la prenotazione richiede una verifica tramite carta di credito entro 24 ore, altrimenti verrà cancellata. Non verrà effettuato nessun pagamento, ma solo un’autorizzazione temporanea.

Cliccando sul link presente nel messaggio viene aperto un portale con design simile a quello legittimo, in cui l’utente deve inserire i dati della carta di credito (numero, data di scadenza, codice CVV e nome del titolare). Ovviamente verranno inviati ai cybercriminali che li useranno per effettuare transazioni o li venderanno nel dark web.

Nessun hotel chiede la verifica della prenotazione tramite WhatsApp. Ciò deve essere fatto sul sito dell’hotel o della piattaforma di intermediazione (Booking.com, Expedia e simili). Il messaggio può essere segnalato a WhatsApp e alle autorità. Non cliccare mai sui link e bloccare il numero del mittente.