Falske betalingsanmodninger rammer kommende gæster efter et brud hos en it-leverandør. Sagen viser, hvor dyr leverandørrisiko kan blive i oplevelsesøkonomien.
Inden en række hotelophold i Syd- og Sønderjylland har danske gæster i weekenden modtaget beskeder, der ligner legitime betalingsanmodninger, men som i praksis sender penge til svindlere.
Baggrunden er et datalæk, der ifølge hotellerne har givet angribere adgang til oplysninger, som gør phishingforsøgene mere troværdige.
Det er et nyt eksempel på, hvordan oplevelsesøkonomien er blevet et attraktivt mål: Når gæster forventer en betaling tæt på ankomst, er timingen perfekt til social engineering.
For hoteller kan selv et mindre læk derfor udløse både direkte kundetab og et dyrt oprydningsarbejde.
Det oplyser Finans.
Lækket rammer der, hvor gæsten betaler
Ifølge Finans er flere hoteller, herunder Schackenborg Slotskro og Hotel Koldingfjord, blevet berørt af en bølge af falske betalingsanmodninger til kommende gæster.
Mediet peger på et sikkerhedsbrud hos leverandøren AK Techotel, der leverer systemer til hoteladministration.
Det afgørende i netop denne type angreb er konteksten: Har svindleren navn, bookingreference eller information om opholdets dato, stiger sandsynligheden markant for, at en gæst betaler uden at stille spørgsmål.
Angrebet udnytter, at betalingen ofte er en normal del af processen, og at kommunikationen i forvejen foregår digitalt.
Leverandørrisikoen er blevet den blinde vinkel
Sagen illustrerer en klassisk cyberudfordring: mange virksomheder har styr på deres egne systemer, men mindre kontrol over underleverandørers sikkerhed.
Når et hotel bruger en ekstern platform til booking, gæstekommunikation og betaling, kan et brud ét sted skabe et kædereaktionsproblem på tværs af flere hoteller.
For branchen rejser det spørgsmål om, hvor langt man bør gå i krav til leverandører, logning og segmentering af data.
Jo mere automatiseret gæsterejsen er blevet, jo større er værdien af adgang til netop de beskedtråde og betalingsflows, som gæsterne stoler på.
Det næste, gæster og hoteller bør holde øje med
For gæster er det mest robuste råd at undgå at betale via links i beskeder, før man har verificeret afsenderen gennem hotellets officielle kanaler.
For hoteller handler det om at få overblik over, hvilke data der potentielt er eksponeret, og hurtigt informere berørte kunder, så svindelvinduet lukkes.
På kort sigt bliver den afgørende test, om leverandøren kan dokumentere, hvordan bruddet er sket, og om hotellerne opgraderer procedurerne for betaling og gæstekommunikation.
Hvis ikke, risikerer oplevelsesøkonomien, at tillid bliver en lige så knap ressource som belægning.
Christian Pedersen er journalist på FinansFokus og dækker markeder, investering og erhvervsliv.
