بشكل عام، تحدثنا عن خداع المستهلكين أو نسخ مواقع الويب (Typosquatting) في حوادث الأمن السيبراني. ولكن هناك بُعد تهديد صامت وغير مرئي يستهدف البنية التحتية لشركات السياحة المؤسسية (الفنادق والوكالات) مباشرة: Ransomware (الفدية) أو BEC (اختراق البريد الإلكتروني للأعمال).
الكابوس داخل ملف الفاتورة PDF المثالي!
في صباح أحد الأيام، تصل إلى شاشة محاسبة فندقك أو حجوزاته (info@) ملف PDF تحت اسم "وثيقة تدقيق TÜRSAB / دفعة جولة" من جهة أجنبية أو تبدو رسمية للغاية. بنقرة واحدة من موظف الاستقبال في الفندق أو السكرتير غير المتمرس الذي يقوم بتنزيل وفتح هذا الملف، يتم تثبيت شجرة برامج ضارة سامة على شبكة الكمبيوتر المحلية بأكملها (أتمتة CRM و PMS للوكالة).
في اليوم التالي، تستمر في إجراء تسجيلات دخول العملاء دون مشاكل، ولكن في الخلفية، يكون قراصنة الإنترنت قد سحبوا بالفعل أرقام هواتف وعناوين بريد إلكتروني "جميع الضيوف الذين سيقومون بتسجيل الدخول" من قاعدة بياناتك إلى خوادمهم الخاصة.
لماذا يصدق العميل الرسالة الواردة من القرصان؟
في ذلك المساء، تصل رسالة نصية قصيرة إلى هاتف الضيف المحمول باسم فندقك: *"السيد [اسم الضيف]، لقد حدث خطأ في النظام في مطابقة الدفع لحجزك في تاريخ [تاريخ الإقامة]. للدخول إلى منشأتنا، يرجى إرسال الدفعة المقدمة الناقصة من هذا الرابط. وإلا سيتم إلغاؤه: linktr.ee/oteliniz-kiosk"*
يتجمد العميل. لأن النظام ليس مجرد محتال؛ لقد ذكر اسمه، وأعطى تاريخاً محدداً واستخدم اسم الفندق الذي سيذهب إليه بالضبط! يعتقد أن الخطأ منه ويطلق دفعته المقدمة إلى القراصنة. تكمن المشكلة في البعد القانوني لقوانين المستهلك وعقوبات انتهاك قانون حماية البيانات الشخصية التي تنشأ عندما تضعف البنية التحتية السيبرانية للفندق. قم بتشفير جميع بيانات ضيوف B2B الخاصة بك، واسحب معلومات استخبارات التهديدات بشكل دوري باستخدام محركات خارجية مثل RuuSafe!
أسئلة متكررة
كيف يتم اختراق البريد الإلكتروني لموظف الفندق؟
الطريقة الأكثر شيوعاً هي البريد الإلكتروني للتصيد الاحتيالي (phishing). الرسائل التي تحتوي على ملفات PDF أو روابط مزيفة تم إعدادها لتبدو وكأنها واردة من مؤسسة رسمية، تسرق معلومات تسجيل الدخول عند فتحها أو تثبت برامج ضارة في الخلفية.
ما الذي يمكن أن يفعله فندق تعرض لهجوم BEC لحماية بيانات العملاء؟
بموجب قانون حماية البيانات الشخصية (KVKK)، أبلغ مجلس حماية البيانات الشخصية بالانتهاك في غضون 72 ساعة. أبلغ العملاء عبر الرسائل القصيرة أو البريد الإلكتروني وأعد تعيين جميع كلمات المرور في الحسابات المخترقة؛ وابدأ أيضاً تحقيقاً جنائياً مع شركة أمن تكنولوجيا المعلومات.
كيف يمكنني تعزيز البنية التحتية للبريد الإلكتروني لفندقنا؟
قم بتكوين سجلات SPF و DKIM و DMARC لمنع تزييف البريد الإلكتروني. قم بتوفير تدريب منتظم على محاكاة التصيد الاحتيالي للموظفين واجعل المصادقة الثنائية إلزامية لعمليات الحجز الحرجة.
