Hôtellerie

Source : Securonix Threat Research — Analyse technique d’une campagne active baptisée PHALT#BLYX ciblant le secteur de l’hôtellerie en Europe, utilisant des leurres Booking.com, la tactique « ClickFix » (faux CAPTCHA puis faux écran bleu), et l’abus de MSBuild.exe pour livrer un RAT de type DCRat/AsyncRAT. • Le flux d’infection repose sur un email de phishing « annulation de réservation » avec montants en euros, redirigeant vers un faux site Booking.com. L’utilisateur est poussé à cliquer « Refresh », un faux BSOD s’affiche et l’invite à coller une commande PowerShell (ClickFix) depuis le presse‑papiers. Le script télécharge un projet MSBuild (v.proj) depuis 2fa-bns[.]com, exécuté par msbuild.exe pour dérouler la suite de l’infection. ...

CERT-AGID (cert-agid.gov.it) signale une vente illégale de scans haute résolution de documents d’identité (passeports, cartes d’identité, etc.) volés à des hôtels en Italie 🏨🛂. Selon l’acteur malveillant “mydocs”, les premiers lots proviennent d’accès non autorisés à trois structures hôtelières, avec des vols survenus entre juin et juillet 2025. Le matériel est proposé sur un forum underground. Chronologie des ajouts annoncés: 08/08/2025: +17 000 documents issus d’une structure supplémentaire. 11/08/2025: publications de nouvelles collections totalisant plus de 70 000 documents exfiltrés à quatre hôtels italiens. 13/08/2025: environ 3 600 documents attribués à deux hôtels supplémentaires (portant le total d’hôtels concernés à dix au 13/08). 14/08/2025: environ 9 300 scans associés à deux nouvelles structures. Les documents volés constituent un actif de grande valeur pour des usages frauduleux, notamment: ...

Selon un article publié le 28 mai 2025, les Arcona-Hotels ont été victimes d’un cyber-attaque détectée le vendredi de la semaine précédente. Cette attaque a entraîné des perturbations dans les systèmes informatiques de plusieurs de leurs établissements, notamment les hôtels Vju et Koopmanns sur Rügen, l’hôtel Elephant à Weimar, et le siège à Rostock. Après la découverte des anomalies par un prestataire IT, une décision a été prise de déconnecter préventivement les sites des services IT centraux pour limiter les dégâts potentiels. Cette mesure a permis de réduire l’impact de l’attaque, bien que certains systèmes comme les caisses et la téléphonie de la centrale de Rostock soient toujours affectés. ...