Siber güvenlik araştırmacıları, Booking.com'un Japon ortak otellerini hedef alan yeni bir phishing kampanyasını ortaya çıkardı. Trend Micro'nun araştırma birimi TrendAI tarafından Mayıs 2026 sonunda tespit edilen saldırıda, siber tehdit aktörleri otel çalışanlarına sahte misafir şikayetleri ve yorum talepleri içeren e-postalar gönderiyor. E-postalar, alıcıları kötü amaçlı dosyaları çalıştırmaya ikna etmek için tasarlanmış.
Saldırganların kullandığı TONResolver adlı zararlı yazılım, blockchain teknolojisinden yararlanıyor. The Open Network (TON) blockchain platformunda bir akıllı sözleşme üzerinde barındırılan bu yazılım, bir Truva atı (RAT) olarak çalışıyor. TrendAI'nin raporuna göre, TONResolver, hedef sistemlere ilk erişimi sağlayıp komut çalıştırma yeteneği kazandırıyor; ardından kimlik bilgilerini çalmayı ve sistemi daha fazla ele geçirmeyi hedefliyor.
Phishing e-postaları, Booking.com ortaklarına Japonca 'Önemli: Misafir Yorum İnceleme Talebi' konulu olarak gönderiliyor. Saldırgan, hedef ile iletişime geçtikten sonra, bir ZIP dosyası indiren kötü amaçlı bağlantı içeren takip e-postaları atıyor. ZIP içinde, fotoğraf dosyası gibi görünen bir kısayol bağlantı dosyası (LNK) bulunuyor. Bu dosya, PowerShell betiği aracılığıyla TrojanSpy.JS.TONRESOLVER.A'yı yüklüyor. Ayrıca İngilizce ve diğer dillerde e-postalar Avusturya, Avustralya, Fransa, Almanya, Endonezya, İtalya, Hollanda, Rusya, Güney Kore, Türkiye, İngiltere ve ABD'deki otellere de gönderilmiş, ancak ana hedef Japonya olmuş.
Saldırganlar, e-postaları göndermek için bir zamanlama aracı hizmetinin bildirim özelliğini kullanmış. Bu sayede SPF, DKIM ve DMARC gibi geleneksel e-posta güvenlik kontrollerini atlatmışlar. TrendAI raporu, saldırının Booking.com ortaklarının dikkatli olması gerektiğini vurguluyor. Otel çalışanlarının, özellikle beklenmedik şikayet veya yorum e-postalarındaki bağlantılara tıklamaması ve dosyaları indirmemesi öneriliyor. Bu olay, blockchain teknolojisinin siber suçlular tarafından ne kadar yaratıcı şekilde kullanılabildiğini gösteriyor.
