Siber tehdit aktörleri, Japonya'daki Booking.com ortak konaklama işletmelerinin çalışanlarını hedef alan yeni bir kimlik avı kampanyası başlattı. Saldırganlar, misafir şikayetleri ve yorum taleplerini taklit eden e-postalar göndererek otel personelini kötü amaçlı dosyaları çalıştırmaya ikna ediyor. Bu kampanyada kullanılan TONResolver adlı kötü amaçlı yazılım, bir akıllı sözleşme üzerinde barındırılıyor ve The Open Network (TON) blokzinciri platformundan yararlanıyor. Trend Micro'nun araştırma birimi TrendAI tarafından Mayıs 2026 sonunda tespit edilen bu saldırı, özellikle Japon misafirperverlik sektörünü hedef alıyor.
Kimlik avı e-postaları, Japonca 'Önemli: Misafir Yorum İnceleme Talebi' konu satırıyla gönderiliyor ve alıcıları saldırganla iletişime geçmeye teşvik ediyor. Ardından gelen e-postalarda, şüpheli bir web sitesine yönlendiren ve bir ZIP dosyası indiren bir hiper bağlantı bulunuyor. ZIP dosyasının içinde, fotoğraf dosyası gibi görünen bir kısayol bağlantı dosyası (LNK) yer alıyor. Bu dosya, PowerShell betiği aracılığıyla TrojanSpy.JS.TONRESOLVER.A adlı bir uzaktan erişim truva atı (RAT) olan TONResolver'ı yüklüyor. Bu kötü amaçlı yazılım, ilk erişim ve komut yürütme için bir dayanak noktası görevi görüyor ve ardından kimlik bilgisi hırsızlığı ve daha fazla sızma potansiyeli taşıyor.
Saldırganlar, e-postaları göndermek için bir zamanlama aracı hizmetinin bildirim işlevini kullanıyor. Bu sayede, SPF, DKIM ve DMARC gibi alan adı kimlik doğrulama teknolojilerine dayanan geleneksel e-posta güvenlik kontrollerini atlatıyorlar. TrendAI raporuna göre, Japon konaklama kuruluşları açık ara en büyük hedef olsa da, Avusturya, Avustralya, Fransa, Almanya, Endonezya, İtalya, Hollanda, Rusya, Güney Kore, Türkiye, İngiltere ve ABD'deki Booking.com ortaklarına da İngilizce ve diğer dillerde kötü amaçlı e-postalar gönderildi.
Bu kampanya, siber suçluların blokzinciri teknolojisini kötü amaçlı yazılım barındırma ve dağıtma amacıyla kullanma eğilimini gösteriyor. TON blokzinciri, merkeziyetsiz yapısı sayesinde geleneksel güvenlik önlemlerini aşmalarına olanak tanıyor. Otel ve konaklama işletmelerinin, özellikle Booking.com gibi büyük platformlar aracılığıyla gelen şüpheli e-postalara karşı dikkatli olmaları, çalışanlarını bu tür kimlik avı saldırılarına karşı eğitmeleri ve güvenlik yazılımlarını güncel tutmaları büyük önem taşıyor.
