Når svindleren kjenner gjestens hotell og reisedatoer

En betalingsforespørsel med riktige bookingopplysninger kan likevel være svindel. For hotellet kan misbruk av gjestedata føre til tap for gjesten, merarbeid for ansatte og svekket tillit til hotellets kommunikasjon.

Tenk deg at en gjest får beskjed om å bekrefte betalingskortet for å beholde reservasjonen. Navnet stemmer. Hotellet og reisedatoene er riktige. Gjesten venter en bekreftelse fra hotellet, og meldingen virker troverdig. Men lenken fører til en falsk betalingsside.

Dette illustrerer hvordan ekte reservasjonsopplysninger kan bli brukt til å lure gjester. Hotellet kan få flere bekymrede henvendelser og må undersøke hva som har skjedd. Selv om bookingen fortsatt er gyldig, kan gjesten miste tilliten til meldingene som kommer fra hotellet.

Riktige bookingdata er ingen garanti for en ekte melding

WIRED omtalte 28. mai 2026 en Norton-undersøkelse som knyttet minst 350 overnattingssteder i 50 land til analysert svindelmateriale. Reelle reservasjonsopplysninger ble brukt i målrettede phishingmeldinger. Undersøkelsen fastslår ikke at alle virksomhetene ble kompromittert på samme måte, eller at opplysningene alltid kom fra hotellets egne systemer. [1]

Et angrep kan altså ramme gjestene selv om innsjekkingen fungerer og bookingoversikten ser normal ut. Hotellet trenger rutiner for å reagere også når det første signalet kommer fra en gjest.

Angrepet kan begynne hos en medarbeider som håndterer bookinger

Microsoft har dokumentert en kampanje mot hotell- og reiselivsansatte der falske henvendelser utga seg for å komme fra Booking.com. En teknikk kalt ClickFix lurte mottakeren til å utføre en tilsynelatende kontroll som i stedet startet skadevare. Målet var blant annet å stjele innloggingsopplysninger. [3]

Beskyttelse og overvåking av PC-er kan bidra til å oppdage slik aktivitet. Sikkerhetsverktøy kan også blokkere angrepsforsøk automatisk, avhengig av produkt, lisens, signalgrunnlag og konfigurasjon. Sikkerhetsanalytikere kan undersøke om angrepet lyktes, om andre enheter er berørt, og hvilke tilganger som må sikres. [3, 6]

En konto kan bli overtatt uten malware på datamaskinen

I en artikkel beskriver Runnr.ai en angrepsmåte der hotellansatte blir lurt til å logge inn på falske booking- eller PMS-sider. PMS er hotellets system for blant annet reservasjoner og gjesteadministrasjon. Stjålne innloggingsopplysninger kan brukes til å få tilgang til gjestedata. Dette er en leverandørs forklaring av en mulig angrepsvei, ikke en uavhengig granskning av alle slike hendelser. [2]

Da er det ikke sikkert at endepunktbeskyttelsen ser skadevare å stoppe. Hotellet bør også kunne følge opp mistenkelige innlogginger og uvanlig kontobruk. En skybasert bookingplattform blir ikke automatisk overvåket fordi PC-en har Defender. Dekningen avhenger av hvilke logger og integrasjoner plattformen tilbyr, og hva sikkerhetspartneren faktisk følger opp.

Avklar tilganger og ansvar før gjesten ringer

For å begrense konsekvensene bør hotellet kunne svare på disse spørsmålene før en hendelse oppstår:

• Hvor finnes gjeste- og reservasjonsdataene, og hvilke ansatte og leverandører har tilgang?
• Har medarbeiderne personlige kontoer, og støtter systemene phishing-resistent flerfaktorautentisering?
• Hvilke logger kan hotellet, plattformleverandøren og sikkerhetspartneren hente og undersøke?
• Hvem kan sperre kontoer, tilbakekalle aktive økter og isolere enheter, også utenfor kontortid?
• Hvordan fortsetter innsjekking og betaling hvis en viktig PC eller konto tas ut av bruk?

Når gjester melder om falske betalingskrav

En falsk melding beviser ikke alene at hotellets systemer er kompromittert. Den er likevel grunn til rask undersøkelse. Tiltakene bør følge hotellets beredskapsplan og tilpasses funnene, med parallelle oppgaver der det er nødvendig:

Sikre kontoer og aktive økter som kan være berørt, i samarbeid med IT-ansvarlig og sikkerhetspartner.

Kontakt booking- eller PMS-leverandøren gjennom en etablert kanal, og be om hjelp til å undersøke tilgangen og bevare relevante logger.

Undersøk berørte enheter, kontoer og tilgjengelige systemlogger. Avklar om aktiviteten gjelder ett hotell eller flere.

Informer berørte gjester gjennom en kjent kanal. Forklar hvordan de kan kontrollere betalingsforespørsler direkte med hotellet.

Vurder hvilke personopplysninger som kan være eksponert, og involver personvernansvarlig for å avklare videre håndtering og eventuell varsling.

Gjestedata må ses i sammenheng med resten av hotellet

Vår anbefaling er å se bookingtilganger, endepunkter og nettverk i sammenheng. Begrens leverandørtilgang og skill gjestenett, administrasjon og tekniske anlegg etter behov og risiko. NCSC i Storbritannia anbefaler segmentering og tilgangskontroll for å beskytte andre systemer mot tredjepartstilgang. NCSC i New Zealand anbefaler blant annet å skille gjestenett fra øvrige enheter og begrense forbindelser mellom nettverk. Dette er generelle sikkerhetsråd som må tilpasses hotellets arkitektur. [8, 9]

Hotellet må også ha beredskap for driftsavbrudd. Løsepengevirus kan gjøre systemer utilgjengelige og kombineres med datatyveri. Overvåking og respons må derfor suppleres med oppdateringer, sikkerhetskopier og planlagt gjenoppretting. [7]

Sikkerhetsoppfølging som tar hensyn til hotelldriften

En mistenkelig bookinghenvendelse kan berøre både en medarbeiderkonto, en PC og gjestedata. NetNordic kan kombinere nettverksdrift fra NOC (Vårt Network Operations Center) med Cyber Defense Services, slik at drifts- og sikkerhetsfaglig kompetanse kan brukes sammen. NOC følger opp all tilgjengelighet og drift, mens SOC (Security Operations Center) overvåker og undersøker tegn på cyberangrep og uønsket trafik. Uønskede hendelser kan kreve innsats fra begge funksjonene. Med mennesker som følger opp hendelser og sikrer ta tiltak blir gjort, får du en umiddelbar økt kontroll på driften. NetNordic sin SOC kan uavhenging av NOC-en, kobles mot alle nettverksløsninger dere måtte ha.

Hvilke systemer som overvåkes, hvilke signaler som kan kobles sammen, og hvilke tiltak NetNordic kan utføre, må avtales for det enkelte hotell. Et godt første steg er å gjennomgå tilgangen til gjestedata og hvem som kan handle når noe mistenkelig skjer. Vil du vite mer om hvordan vi kan bidra til en tryggere drift og gi dere kontrollen tilbake? Book en uforpliktende samtale med oss!

[1] WIRED — Reservasjonsdata brukt i målrettet svindel

[2] Runnr.ai — Supportartikkel om falske meldinger til gjester

[3] Microsoft Threat Intelligence — Booking.com og ClickFix kampanjen

[4] Microsoft — Microsoft Defender Licensing Guidance

[5] Microsoft Learn — What is Microsoft Defender Experts MDR

[6] Microsoft Learn — Overview of endpoint detection and response

[7] Canadian Centre for Cyber Security — Ransomware playbook

[8] NCSC Storbritannia — Understand and document third party risks to your OT system

[9] NCSC New Zealand — Network separation and segmentation

Forfatter