Spis treści
„Od wczoraj klienci którzy mają rezerwację [w naszym hotelu] otrzymują na whatsapp-ie wiadomości o złożonej rezerwacji z dokładnymi danymi oraz linkiem do płatności co jest próbą wyłudzenia opłaty” – tak czytelnik serwisu Niebezpiecznik opisał sytuację po wycieku danych z systemu Hotres, z którego korzysta ponad 2000 polskich hoteli. Atak dotknął gości wielu obiektów, a sprawcy już wykorzystują wykradzione informacje, by wyłudzać pieniądze. Warto wiedzieć, jak sprawdzić, czy nasze dane są zagrożone i co zrobić, by nie paść ofiarą oszustwa.
Co się stało? System Hotres zhakowany przez SQL injection
Do włamania doszło przez lukę w zabezpieczeniach systemu Hotres, który służy tysiącom hoteli w Polsce do przyjmowania i zarządzania rezerwacjami. Jak podaje źródło, atak nastąpił przez SQL injection – jedną z najstarszych, ale wciąż skuteczną metod ataku na bazy danych. Firma Hotres w komunikacie do hoteli przyznała, że doszło do „naruszenia ochrony danych osobowych w systemie Hotres” o „nieznanej skali”. Co więcej, firma stwierdziła, że system jest „dobrze zabezpieczony przed atakami”, ale „atak nastąpił z poziomu konta zalogowanego użytkownika”.
W wyniku incydentu przestępcy uzyskali dostęp do następujących danych osobowych gości: imię i nazwisko, adres e-mail, numer telefonu, daty pobytu oraz kwota pobytu. Nie wiadomo, ile rekordów zostało skradzionych – firma Hotres nie podała tej liczby, a redakcja Niebezpiecznika czeka na odpowiedź w tej sprawie.
Czy moje dane wyciekły? Jak to sprawdzić
Jeśli w ostatnim czasie rezerwowałeś nocleg w polskim hotelu, hostelu lub innym obiekcie noclegowym, który mógł korzystać z systemu Hotres, powinieneś założyć, że twoje dane mogły wyciec. Źródło wskazuje kilka sposobów na weryfikację:
- Przeszukaj skrzynkę pocztową pod kątem słowa „hotres” – niektóre e-maile z obiektu mogą zawierać nazwę systemu w stopce, choć nie jest to regułą.
- Sprawdź stronę Hotres w sekcji referencje – znajdziesz tam listę hoteli, które publicznie potwierdziły korzystanie z systemu. Jednak nie ma tam wszystkich obiektów (ponad 2000).
- Polegaj na uczciwości hotelu – to obiekt, jako administrator danych, ma obowiązek poinformować cię o naruszeniu. Niestety, autorzy artykułu spodziewają się, że nie wszystkie hotele to zrobią. Hotres w komunikacie do hoteli sugeruje nawet, że jeśli nie otrzymaliście skarg od gości, „można domniemywać, że incydent was nie dotyczy”, co – jak oceniają eksperci – może być interpretowane na niekorzyść gości.
Sam Hotres nie powiadomi poszkodowanych bezpośrednio. Dlatego warto samodzielnie skontaktować się z hotelem, w którym dokonałeś rezerwacji, i zapytać, czy korzysta z systemu Hotres oraz czy doszło do naruszenia danych.
Co mi grozi? Phishing i wyłudzenia
Przestępcy już wykorzystują wykradzione dane. Jak opisano w źródle, wysyłają do gości wiadomości e-mail, SMS-y lub WhatsApp, podszywając się pod hotel. W treści proszą o dodatkową płatność, podanie danych karty płatniczej lub kliknięcie w link rzekomo prowadzący do „gwarancji rezerwacji”. To klasyczny phishing, który może kosztować cię pieniądze, jeśli dasz się nabrać.
„Każdy kontakt ze strony hotelu w sprawie Twojego noclegu potwierdź niezależnie z hotelem. Proszą w e-mailu, SMS-ie albo rozmowie telefonicznej żeby podać numer karty albo wykonać jakąś (dodatkową) płatność? Nie rób tego. Sam zadzwoń do obiektu i ustal, czy kontakt faktycznie wyszedł od ich pracownika.”
Pamiętaj: prawdziwy hotel nigdy nie poprosi cię o podanie danych karty przez SMS lub e-mail, zwłaszcza jeśli wcześniej już uiściłeś opłatę. Jeśli masz wątpliwości, zadzwoń na numer z oficjalnej strony hotelu, a nie ten podany w podejrzanej wiadomości.
Jak chronić się na przyszłość: praktyczne nawyki
Wycieki danych z systemów hotelowych zdarzają się regularnie. Źródło radzi, by przy rezerwacji noclegu stosować kilka prostych zasad:
- Używaj jednorazowego adresu e-mail lub aliasu – tylko na potrzeby danej rezerwacji. W razie wycieku nie narazisz swojej głównej skrzynki.
- Nie podawaj numeru telefonu, jeśli nie jest wymagany – wiele formularzy pozwala na pominięcie tego pola.
- Nie wpisuj pełnego nazwiska – w trakcie rezerwacji online wystarczy imię i pierwsza litera nazwiska. Pełne dane podasz przy zameldowaniu.
- Unikaj podawania numeru dokumentu tożsamości – jeśli to możliwe, pokaż inny dokument (np. kartę płatniczą). Numer dowodu czy paszportu to unikatowy identyfikator, który w razie wycieku może być wykorzystany do kradzieży tożsamości.
- Potwierdzaj płatności bezpośrednio przez oficjalne kanały hotelu – nigdy przez linki z wiadomości.
Autorzy artykułu podkreślają, że warto także sprawdzić, czy twoje dane osobowe nie wyciekły już wcześniej – w internecie istnieją narzędzia (np. serwisy do sprawdzania wycieków), które mogą pomóc ocenić skalę zagrożenia. Jednak pamiętaj: żadna metoda nie daje 100% ochrony, ale znacznie utrudnia życie przestępcom.
Co zrobić, jeśli podejrzewasz, że twoje dane wyciekły?
Jeśli otrzymałeś podejrzaną wiadomość rzekomo od hotelu, a wcześniej korzystałeś z obiektu, który może używać systemu Hotres, nie panikuj. Działaj rozsądnie:
- Nie klikaj w linki i nie otwieraj załączników.
- Skontaktuj się z hotelem – najlepiej telefonicznie, korzystając z numeru znalezionego na oficjalnej stronie www.
- Zgłoś incydent – jeśli potwierdzisz, że doszło do wyłudzenia, możesz powiadomić policję lub CERT Polska (zespół reagowania na incydenty komputerowe).
- Monitoruj swoje konto bankowe – jeśli podałeś dane karty, jak najszybciej skontaktuj się z bankiem i zastrzeż kartę.
Pamiętaj, że twoje dane – choć w rękach przestępców – nie są wyrokiem. Świadomość zagrożenia i spokojne, odpowiedzialne działanie to najlepsza tarcza. Więcej o tym, jak zabezpieczyć swoje dane i pieniądze przed cyberprzestępcami, przeczytasz w oryginalnym artykule Niebezpiecznika.
Źródła:
- Wyciek danych gości wielu polskich hoteli (Niebezpiecznik)
- Nie musisz dopłacać za spokój (Niebezpiecznik)
