Verdacht auf Phishing oder kompromittiertes Konto: Notfallplan

Wenn Sie glauben, dass ein Mitarbeiter versehentlich seine Cloudbeds-Zugangsdaten auf einer gefälschten Anmeldeseite eingegeben hat oder wenn Sie vermuten, dass auf Ihr Konto ohne Ihre Erlaubnis zugegriffen wurde, handeln Sie sofort. Geschwindigkeit ist entscheidend.

Wie dies normalerweise passiert

Der häufigste Angriff, der Cloudbeds-Nutzer betrifft, sieht folgendermaßen aus:

1. Ein Mitarbeiter sucht bei Google nach „Cloudbeds-Anmeldung“.
2. Eine bösartige gesponserte Anzeige erscheint ganz oben in den Ergebnissen. Sie sieht identisch mit der echten Cloudbeds-Anmeldeseite aus.
3. Der Mitarbeiter gibt seinen Benutzernamen, sein Passwort und sogar seinen aktiven MFA-Code ein.
4. Der Angreifer erfasst diese Zugangsdaten in Echtzeit und meldet sich innerhalb von Sekunden bei der echten Cloudbeds-Plattform an, bevor der MFA-Code abläuft.

Dieser letzte Punkt ist wichtig zu verstehen. Standard-MFA-Codes, einschließlich Authenticator-App-Codes und SMS-Codes, schützen nicht vor dieser Art von Angriff. Der Angreifer bricht Ihre Sicherheit nicht, er nutzt Ihre echten Zugangsdaten live in dem Moment, in dem Sie sie übermitteln. Dies nennt man einen Echtzeit-Phishing-Angriff oder Session-Hijacking.

Deshalb sind Passkeys und Hardware-Sicherheitsschlüssel die einzigen Anmeldemethoden, die vollständig immun gegen diesen Angriff sind – siehe den Abschnitt zur Prävention weiter unten.

Verdächtige E-Mails, die angeblich von Cloudbeds stammen:

Wenn Sie eine E-Mail erhalten, die aussieht, als käme sie von Cloudbeds, aber verdächtig erscheint, klicken Sie auf keine Links und laden Sie keine Anhänge herunter.

Wenn Sie bereits auf einen Link geklickt oder Ihre Cloudbeds-Anmeldedaten auf einer verdächtigen Seite eingegeben haben, ändern Sie sofort Ihr Cloudbeds-Passwort und überprüfen Sie Ihr Konto auf unbekannte Aktivitäten.

Schritt 1: Passwort ändern und sofort den Support kontaktieren

Melden Sie sich bei Cloudbeds über den offiziellen Link (https://hotels.cloudbeds.com/auth) an und gehen Sie zu Konto-> Mein Profil-> Passwort ändern. Dadurch verhindern Sie, dass der Angreifer die gestohlenen Zugangsdaten verwendet, um neue Sitzungen zu öffnen.

Kontaktieren Sie anschließend sofort den Cloudbeds-Support. Unser Team kann alle aktiven Sitzungen in Ihrem Konto umgehend beenden – dies ist der schnellste Weg, um unbefugte Zugriffe zu stoppen. Das Ändern Ihres Passworts allein beendet keine bereits offenen Sitzungen.

Wenn Sie den Support kontaktieren, geben Sie bitte an:

• Ihre Unterkunfts-ID
• Die E-Mail-Adresse des kompromittierten Kontos
• Das ungefähre Datum und die Uhrzeit des Vorfalls
• Ob Sie vermuten, dass Zugangsdaten auf einer gefälschten Seite eingegeben wurden oder ob Sie direkt verdächtige Aktivitäten in Ihrem Konto bemerkt haben

Wenn Sie sich nicht anmelden können, weil der Angreifer bereits Ihr Passwort geändert hat, gehen Sie zur Anmeldeseite und klicken Sie auf „Passwort vergessen?“, um eine Zurücksetzung über Ihre registrierte E-Mail auszulösen, und kontaktieren Sie anschließend sofort den Support.

Schritt 2: Überprüfen Sie Ihre Aktivitätsprotokolle gründlich

Gehen Sie zu Account-> Einstellungen-> Aktivitätsprotokoll und prüfen Sie alles, was während des Zeitraums passiert ist, in dem Sie vermuten, dass das Konto kompromittiert wurde.

Worauf Sie achten sollten:

• Export von Gastdaten — Jede Exportierung von Reservierungslisten oder Gastdaten hat höchste Priorität. Wenn während des Kompromittierungszeitraums ein Export durchgeführt wurde, gehen Sie davon aus, dass Kontaktdaten von Gästen gesammelt wurden.
• Neue Benutzerkonten erstellt — Angreifer legen manchmal ein Hintertür-Konto an, um auch nach Passwortänderung Zugriff zu behalten.
• Berechtigungsänderungen — Achten Sie auf Rollen-Upgrades oder Erweiterungen von Berechtigungen bei bestehenden Benutzern.
• Änderungen am Unterkunftsprofil oder an Einstellungen — Zahlungsdetails, Benachrichtigungs-E-Mails oder Channel-Manager-Einstellungen könnten verändert worden sein.
• Gastnachrichten über GX (Whistle) gesendet — Möglicherweise wurden betrügerische Nachrichten an Gäste gesendet, die Ihre Unterkunft imitieren.
• Neue API-Schlüssel erstellt — Ein neuer API-Schlüssel ermöglicht Angreifern weiterhin programmatischen Zugriff, selbst nach Passwortänderung. Widerrufen Sie unverzüglich alle Schlüssel, die Sie nicht erkennen.
• Buchungs- oder Reservierungsänderungen — Prüfen Sie, ob Reservierungen unerwartet erstellt, storniert oder geändert wurden.

Dokumentieren Sie alles, was Sie im Aktivitätsprotokoll finden, und fügen Sie diese Informationen bei der Kontaktaufnahme mit dem Support bei. Diese Daten helfen unserem Sicherheitsteam, das volle Ausmaß der Kompromittierung zu bewerten.

Schritt 3: Prüfen Sie Ihre Benutzerliste und deaktivieren Sie unbefugten Zugriff

Gehen Sie zu Account-> Einstellungen-> Benutzer und suchen Sie nach Ungewöhnlichkeiten.

Worauf Sie achten sollten:

• Alle kürzlich hinzugefügten Konten, die Sie nicht erkennen
• Alle Benutzer mit erhöhten Berechtigungen (Inhaber- oder Manager-Rollen), die diese nicht haben sollten
• Alle Benutzer mit Zugriff auf Datenexporte (Reservierungsliste, Gastdaten)
• Änderungen bei Eigentum oder Organisationsinhaberschaft – prüfen Sie, ob die Inhaberrolle an ein Konto übertragen wurde, das Sie nicht erkennen. Wenn Ihre Unterkunft oder Organisation jetzt einen unbekannten Inhaber anzeigt, kontaktieren Sie umgehend den Cloudbeds-Support mit Ihrer Unterkunfts-ID.

Wenn Sie einen unbefugten Benutzer finden: Klicken Sie auf das Drei-Punkte-Menü neben dem Namen und wählen Sie sofort Benutzer deaktivieren.

Entfernen Sie vorsorglich vorübergehend die Datenexport-Berechtigungen von allen nicht verifizierten Mitarbeiterkonten, während Sie die Angelegenheit untersuchen.

Schritt 4: Erzwingen Sie die MFA-Neuregistrierung für alle Mitarbeitenden

Sobald Sie das Konto gesichert und die Aktivitäten geprüft haben, verlangen Sie von allen Mitarbeitenden, ihre MFA zurückzusetzen. Selbst wenn nur ein Konto direkt kompromittiert wurde, ist es gute Praxis, einen Phishing-Vorfall als sicherheitsrelevantes Ereignis für die gesamte Unterkunft zu behandeln.

So setzen Sie die MFA für einen Mitarbeitenden zurück:

1. Gehen Sie zu Konto-> Einstellungen-> Benutzer
2. Klicken Sie auf das Drei-Punkte-Menü neben dem Namen des Benutzers
3. Wählen Sie MFA-Status zurücksetzen

Wiederholen Sie dies für jedes Mitarbeiterkonto. Jeder Benutzer wird beim nächsten Login aufgefordert, eine neue MFA-Methode einzurichten.

Dies ist auch der richtige Zeitpunkt, um verbleibendes Personal von SMS- oder Authentifikator-App-Codes auf Passkeys oder Hardware-Sicherheitsschlüssel umzustellen – die einzigen Methoden, die von einem Angreifer nicht in Echtzeit wiederverwendet werden können. Siehe:
Passkeys einrichten und Alternative MFA-Methoden einrichten

Schritt 5: Benachrichtigen Sie Gäste, die während der Kompromittierung kontaktiert wurden

Wenn Ihre Aktivitätsprotokolle zeigen, dass während des Zeitraums, in dem Sie vermuten, dass das Konto kompromittiert wurde, Gästemitteilungen über GX (Whistle) gesendet wurden, sollten diese Gäste umgehend benachrichtigt werden.

Was zu tun ist:

1. Identifizieren Sie die Gäste, die während des Kompromittierungszeitraums Nachrichten erhalten haben, indem Sie Ihre GX-Nachrichtenhistorie überprüfen.
2. Kontaktieren Sie diese Gäste direkt über die offizielle E-Mail oder Telefonnummer Ihrer Unterkunft – nicht über GX, bis Sie sicher sind, dass das Konto vollständig gesichert ist.
3. Informieren Sie sie darüber, dass das Konto Ihrer Unterkunft kurzzeitig unbefugt genutzt wurde, keine Zahlungsdaten offengelegt wurden und dass alle Nachrichten, die sie in diesem Zeitraum erhalten haben, nicht von Ihrem Team stammen.
4. Falls Gäste aufgefordert wurden, auf einen Link zu klicken oder persönliche Informationen über diese Nachrichten bereitzustellen, raten Sie ihnen, diesen Aufforderungen nicht nachzukommen und sich direkt an Ihre Unterkunft zu wenden.

Proaktives Handeln gegenüber Gästen verringert das Risiko weiterer Betrugsfälle und schützt den Ruf Ihrer Unterkunft. Wenn Sie unsicher sind, welche Gäste kontaktiert werden sollten, kann Ihnen unser Support-Team helfen, das betroffene Zeitfenster anhand der Aktivitätsprotokolle zu identifizieren.

Schritt 6: Melden Sie den verdächtigen Link an Cloudbeds

Leiten Sie die verdächtige URL oder Phishing-E-Mail an support@cloudbeds.com mit dem Betreff Phishing weiter.

Fügen Sie folgende Angaben bei:

• Die URL der gefälschten Seite (kopieren Sie diese aus der Adressleiste Ihres Browsers – klicken Sie nicht erneut darauf)
• Datum und ungefähre Uhrzeit des Vorfalls
• Die E-Mail-Adresse des betroffenen Mitarbeiters

Unser Sicherheitsteam kann Maßnahmen zur Abschaltung der Domain gegen gefälschte Seiten einleiten und so andere Cloudbeds-Kunden schützen, die auf denselben Link stoßen könnten.

Vorbeugung für die Zukunft

Wechseln Sie zu Passkeys oder Hardware-Sicherheitsschlüsseln – die einzigen wirklich phishing-sicheren Anmeldemethoden.

Standard-MFA-Codes – einschließlich Authentifikator-App-Codes und SMS – können von Angreifern in Echtzeit abgefangen und wiederverwendet werden. Passkeys und Hardware-Sicherheitsschlüssel sind kryptografisch an die offizielle Cloudbeds-Domain gebunden und funktionieren nicht auf gefälschten Anmeldeseiten. Selbst wenn ein Mitarbeiter seine E-Mail auf einer betrügerischen Seite eingibt, gibt es für den Angreifer nichts, was er abfangen oder wiederverwenden könnte.

• Passkeys verwenden die integrierte Biometrie deines Geräts (Fingerabdruck oder Gesichtserkennung) und benötigen keine zusätzliche Hardware. So richtest du einen Passkey ein
• Hardware-Sicherheitsschlüssel (YubiKeys) sind kleine USB-Geräte, die an jeden Computer angeschlossen werden können. Ideal für gemeinsam genutzte Rezeptionsterminals, bei denen ein persönliches Telefon nicht praktisch ist. 

Es wird außerdem dringend empfohlen, die offizielle Anmeldeseite als zweite Schutzebene für alle Mitarbeitenden zu bookmarken.

Weitere Informationen zur Sicherung der Anmeldung Ihrer Unterkunft finden Sie im Admin-Handbuch – SMS- & E-Mail-MFA und in So wählen Sie die beste Anmelde- und MFA-Methode für sich aus.