Suspeita de Phishing ou Conta Comprometida: Plano de Emergência

Se você acredita que um membro da equipe inseriu acidentalmente suas credenciais da Cloudbeds em uma página de logon falsa, ou se suspeita que sua conta foi acessada sem sua permissão, aja imediatamente. A rapidez é fundamental.

Como isso geralmente acontece

O ataque mais comum direcionado aos usuários da Cloudbeds é assim:

1. Um membro da equipe pesquisa "logon Cloudbeds" no Google.
2. Um anúncio patrocinado malicioso aparece no topo dos resultados. Ele é idêntico à página real de logon da Cloudbeds.
3. O membro da equipe insere seu nome do usuário, senha e até mesmo seu código de MFA ativo.
4. O invasor captura essas credenciais em tempo real e faz o logon na plataforma real da Cloudbeds em segundos, antes que o código de MFA expire.

Este último ponto é importante para entender. Códigos de MFA padrão, incluindo códigos de aplicativos de autenticação e SMS, não protegem contra esse tipo de ataque. O invasor não está quebrando sua segurança, ele está usando suas credenciais reais, em tempo real, no momento em que você as fornece. Isso é chamado de ataque de phishing em tempo real ou sequestro de sessão.

É por isso que Passkeys e Chaves de Segurança de Hardware são os únicos métodos de logon totalmente imunes a esse ataque — veja a seção de prevenção abaixo.

E-mails suspeitos que afirmam ser da Cloudbeds:

Se você receber um e-mail que parece ser da Cloudbeds, mas parecer suspeito, não clique em nenhum link nem baixe anexos.

Se você já clicou em um link ou inseriu seus dados de logon da Cloudbeds em uma página suspeita, altere sua senha da Cloudbeds imediatamente e verifique sua conta para qualquer atividade desconhecida.

Passo 1: Altere a senha e entre em contato com o suporte imediatamente

Faça o logon na Cloudbeds usando o link oficial (https://hotels.cloudbeds.com/auth) e vá para Conta-> Meu perfil-> Alterar senha. Isso impede que o invasor use as credenciais roubadas para abrir novas sessões.

Em seguida, entre em contato com o Suporte da Cloudbeds imediatamente. Nossa equipe pode encerrar todas as sessões ativas na sua conta imediatamente — essa é a forma mais rápida de remover qualquer pessoa que esteja atualmente conectada com suas credenciais. Apenas alterar a senha não encerra sessões já abertas.

Ao entrar em contato com o suporte, forneça:

• A ID da sua propriedade.
• O endereço de e-mail da conta comprometida.
• A data e hora aproximadas em que o incidente ocorreu.
• Se você suspeita que as credenciais foram inseridas em uma página falsa ou se percebeu atividade suspeita diretamente na sua conta.

Se você não conseguir fazer o logon porque o invasor já alterou sua senha, acesse a página de logon e clique em "Esqueceu a senha?" para iniciar a redefinição via seu e-mail cadastrado, depois entre em contato com o suporte imediatamente.

Passo 2: Verifique cuidadosamente seus Registros de Atividades

Vá para Conta-> Configurações-> Registro de atividades e revise tudo o que ocorreu durante o período em que você acredita que a conta foi comprometida.

O que observar:

• Exportações de dados de hóspedes — Qualquer exportação da lista de reservas ou dados de hóspedes é o item de maior prioridade para identificar. Se uma exportação ocorreu durante o período de comprometimento, considere que os dados de contato dos hóspedes foram coletados.
• Novas contas de usuário criadas — Os invasores às vezes criam uma conta de acesso oculto para manter o acesso mesmo após você alterar sua senha.
• Alterações de permissão — Procure por quaisquer atualizações de papel ou ampliações de permissão aplicadas a usuários existentes.
• Modificações no perfil ou configurações da Propriedade — Detalhes de pagamento, e-mails de notificação ou configurações do Gerenciador de Canais podem ter sido alterados.
• Mensagens para hóspedes enviadas via Guest Experience (Whistle) — Mensagens fraudulentas podem ter sido enviadas aos hóspedes se passando pela sua Propriedade.
• Novas Chaves de API criadas — Uma nova Chave de API concede ao invasor acesso programático contínuo mesmo após a alteração da senha. Revogue imediatamente quaisquer chaves que você não reconheça.
• Modificações em reservas — Verifique se há reservas criadas, canceladas ou modificadas inesperadamente.

Documente tudo o que encontrar no Registro de atividades e inclua essas informações ao entrar em contato com o suporte. Isso ajuda nossa equipe de Segurança a avaliar toda a abrangência do comprometimento.

Passo 3: Audite sua lista de usuários e desative acessos não autorizados

Vá para Conta-> Configurações-> Usuários e procure por qualquer coisa inesperada.

O que verificar:

• Quaisquer contas adicionadas recentemente que você não reconheça.
• Quaisquer usuários com permissões elevadas (papéis de Proprietário ou Gerente) que não deveriam tê-las
• Quaisquer usuários com acesso a exportações de dados (Lista de Reserva, Dados do Hóspede)
• Alterações na titularidade da propriedade ou organização — verifique se o papel de proprietário foi transferido para uma conta que você não reconhece. Se sua propriedade ou organização agora mostrar um proprietário desconhecido, entre em contato imediatamente com o Suporte da Cloudbeds informando a ID da sua propriedade.

Se você encontrar um usuário não autorizado: use o menu de três pontos ao lado do nome dele e selecione Desativar usuário imediatamente.

Como precaução, remova temporariamente as permissões de exportação de dados de quaisquer contas de funcionários não verificadas enquanto investiga.

Passo 4: Force a reconfiguração da MFA para toda a equipe

Depois de garantir a segurança da conta e auditar a atividade, exija que toda a equipe redefina a MFA. Mesmo que apenas uma conta tenha sido comprometida diretamente, é uma boa prática tratar um incidente de phishing como um evento de segurança em toda a propriedade.

Para redefinir a MFA de um membro da equipe:

1. Vá para Conta-> Configurações-> Usuários;
2. Clique no menu de três pontos ao lado do nome do usuário;
3. Selecione Redefinir status da MFA.

Repita isso para todas as contas da equipe. Cada usuário será solicitado a configurar um novo método de MFA no próximo logon.

Este também é o momento certo para migrar qualquer funcionário restante que ainda use códigos SMS ou de aplicativo autenticador para Passkeys ou Chaves de Segurança de Hardware — os únicos métodos que não podem ser reproduzidos por um invasor em tempo real. Consulte: Configurando Passkeys e Configurar métodos alternativos de MFA

Passo 5: Notifique os hóspedes que podem ter sido contatados durante o comprometimento

Se seus Registros de Atividades mostrarem que mensagens para hóspedes foram enviadas via Guest Experience (Whistle) durante o período em que você acredita que a conta foi comprometida, esses hóspedes devem ser notificados imediatamente.

O que fazer:

1. Identifique os hóspedes que receberam mensagens durante a janela do comprometimento revisando o histórico de mensagens do Guest Experience.
2. Entre em contato diretamente com esses hóspedes usando o e-mail oficial ou telefone da sua propriedade — não utilize o Guest Experience até ter certeza de que a conta está totalmente segura.
3. Informe-os que a conta da sua propriedade foi acessada brevemente sem autorização, que nenhum dado de pagamento foi exposto e que quaisquer mensagens recebidas nesse período não foram enviadas pela sua equipe.
4. Se algum hóspede foi solicitado a clicar em um link ou fornecer informações pessoais por meio dessas mensagens, aconselhe-o a não atender a esses pedidos e a contatar sua propriedade diretamente.

Ser proativo com os hóspedes reduz o risco de fraudes adicionais e protege a reputação da sua propriedade. Se você não souber quais hóspedes contatar, nossa equipe de suporte pode ajudar a identificar a janela afetada nos Registros de Atividades.

Passo 6: Informe o link suspeito à Cloudbeds

Encaminhe a URL suspeita ou o e-mail de phishing para support@cloudbeds.com com o assunto: Phishing

Inclua:

• A URL da página falsa (copie da barra de endereços do seu Navegador — não clique novamente).
• A data e o horário aproximado em que o incidente ocorreu.
• O endereço de e-mail do funcionário afetado.

Nossa equipe de segurança pode iniciar procedimentos para derrubar domínios de sites falsos, protegendo outros clientes Cloudbeds que possam encontrar o mesmo link.

Prevenção para o futuro

Mude para Passkeys ou Chaves de Segurança de Hardware — os únicos métodos de logon realmente à prova de phishing.

Códigos MFA padrão — incluindo códigos de aplicativos de autenticação e SMS — podem ser capturados e reproduzidos por um invasor em tempo real. Passkeys e Chaves de Segurança de Hardware são criptograficamente vinculadas ao domínio oficial da Cloudbeds e não funcionarão em uma página de logon falsa. Mesmo que um funcionário insira seu e-mail em um site fraudulento, não há nada que o invasor possa capturar ou reproduzir.

• Passkeys usam a biometria integrada do seu dispositivo (impressão digital ou reconhecimento facial) e não exigem hardware adicional. Consulte: Como configurar uma Passkey 
• Chaves de segurança de hardware (YubiKeys) são pequenos dispositivos USB que se conectam a qualquer computador. Ideais para terminais compartilhados da Recepção onde o uso de um celular pessoal não é prático. 

Também é altamente recomendável adicionar a página oficial de logon aos favoritos como uma segunda camada de proteção para toda a equipe.

Para mais informações sobre como proteger a configuração de logon da sua propriedade, consulte: Guia do Administrador - MFA por SMS e E-mail e Escolha o melhor método de logon e MFA para você.