Hızlı cevap: Oteller; sahte rezervasyon, çalıntı kartla ödeme, sahte acente ve tedarikçi e-postaları (BEC) ve misafiri hedef alan oltalama gibi dolandırıcılıklara sık maruz kalır. En yaygın senaryolar, resepsiyonu kandırıp para transferi ya da kart bilgisi almaya yöneliktir. Korunmanın temeli; ödeme ve iade taleplerini doğrulamak, resmi kanal dışından gelen istekleri sorgulamak ve personeli bu senaryolara karşı eğitmektir.

Oteller neden dolandırıcıların hedefi?

Otel, yüksek hacimli ödeme işleyen, çok sayıda yabancıyla iletişim kuran ve hızlı hizmet vermesi beklenen bir işletmedir. Bu üç özellik, dolandırıcı için ideal ortamı yaratır. Resepsiyon acele içindedir, misafiri memnun etmek ister ve çoğu zaman gelen isteği fazla sorgulamaz. Dolandırıcı tam da bu güveni ve aceleyi kullanır.

En sık görülen otel dolandırıcılıkları

Senaryo Nasıl işler
Sahte rezervasyon (çalıntı kart) Çalıntı kartla rezervasyon, sonra iade ya da no-show dolandırıcılığı
Sahte OTA mesajı Booking mesajı taklidi ile misafirden kart bilgisi isteme
BEC (tedarikçi/yönetici taklidi) Sahte e-posta ile muhasebeden acil para transferi isteme
Sahte iade talebi Misafir gibi davranıp ödeme iadesi ya da fazla iade koparma
Telefon dolandırıcılığı (vishing) Banka ya da merkez ofis gibi arayıp resepsiyondan işlem yaptırma

BEC: en pahalı otel dolandırıcılığı

İş e-postası ele geçirme (BEC), oteller için en maliyetli tehditlerden biridir. Dolandırıcı, bir tedarikçi ya da otel yöneticisinin e-postasını taklit eder ve muhasebeden acil bir ödeme ya da banka hesabı değişikliği ister. E-posta gerçekçi göründüğü ve aciliyet baskısı kurduğu için, doğrulama yapılmazsa para dolandırıcının hesabına gider. Korunmanın altın kuralı, ödeme ya da hesap değişikliği taleplerini her zaman ikinci bir kanaldan (bilinen bir telefon numarasından arayarak) doğrulamaktır.

Otel personeli için korunma kuralları

  1. Ödeme, iade ve banka hesabı değişikliği taleplerini her zaman ikinci bir kanaldan doğrulayın.
  2. Misafirden tam kart bilgisini e-posta ya da OTA mesajıyla asla istemeyin, isteyen mesajları oltalama kabul edin.
  3. Acele ve baskı içeren istekleri şüpheyle karşılayın, dolandırıcının en güçlü aracı aciliyettir.
  4. Şüpheli rezervasyon, iade ve no-show desenlerini izleyin.
  5. Personeli düzenli oltalama ve sosyal mühendislik eğitiminden geçirin ve simülasyonla test edin.

KAOS ve DSET yaklaşımı

DSET, otellere yönelik oltalama ve sosyal mühendislik simülasyonları düzenler ve personelin bu senaryolara karşı dayanıklılığını ölçer. E-posta güvenliği tarafında SPF, DKIM ve DMARC yapılandırmasını denetleriz, çünkü zayıf e-posta koruması otel adına sahte mail gönderimini kolaylaştırır. Geliştirdiğimiz KAOS güvenlik motoru, otelin dışa açık saldırı yüzeyinde bu tür zayıflıkları raporlar. Amacımız korku satmak değil, gerçek senaryoyu kanıtla gösterip personeli hazırlamaktır.

Bağlantılı okumalar: otel rezervasyon ve kanal yöneticisi güvenliği, otellerde KVKK ve misafir verisi, e-posta dolandırıcılığı BEC ve CEO sahtekarlığı, oltalama ve sosyal mühendislik simülasyonu, kurumsal e-posta güvenliği SPF DKIM DMARC, telefon dolandırıcılığı vishing.

Sık sorulan sorular

Otelde BEC dolandırıcılığından nasıl korunulur? En etkili korunma, ödeme ve banka hesabı değişikliği taleplerini her zaman ikinci bir kanaldan doğrulamaktır. Bir tedarikçi ya da yönetici e-postayla acil ödeme isterse, o kişiyi bilinen bir telefon numarasından arayıp teyit edin. E-posta ne kadar gerçekçi görünürse görünsün, doğrulama yapılmadan para transferi yapılmamalıdır. Ayrıca SPF, DKIM ve DMARC ile otel adına sahte mail gönderimini zorlaştırmak gerekir.

Booking mesajından kart bilgisi istenmesi normal mi? Hayır, bu tipik bir oltalama işaretidir. Meşru bir OTA, misafirden ya da otelden panel mesajıyla tam kart bilgisi istemez. Böyle bir mesaj geldiğinde tıklamayın, kart bilgisi paylaşmayın ve resmi OTA kanalından durumu doğrulayın. Bu mesajlar genellikle ele geçirilmiş bir hesaptan ya da taklit bir bağlantıdan gelir.

Personel eğitimi bu dolandırıcılıkları gerçekten azaltır mı? Evet, çünkü bu dolandırıcılıkların çoğu teknik açıktan değil, insan hatasından yararlanır. Personel, sahte istek desenlerini ve aciliyet baskısını tanımayı öğrendiğinde direnç ciddi biçimde artar. Düzenli oltalama simülasyonu, eğitimin kalıcı olup olmadığını ölçmenin en iyi yoludur.

Kaynaklar

Otelinize yönelik oltalama simülasyonu ve e-posta güvenliği denetimi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.