網上騙案層出不窮，微軟（Microsoft）周五（14日）透過網誌公佈，自去年12月起留意到一系列針對酒店業的網絡釣魚攻擊，包括利用ClickFix社交工程技術，冒充網上旅行社Booking.com，向與其合作的酒店業機構員工發送電郵，以處理客戶負面評論等藉口，誘使受害人點擊連結或打開附件，從而竊取登入帳號及財務資料，有關攻擊截至上月仍然持續，呼籲業界與消費者保持警惕。
【新聞有價 記者有格 立即訂閱：https://bit.ly/3wGQh7c】
網誌提到，這一系列網絡釣魚攻擊特別針對北美洲、大洋洲、南亞和東南亞，以及北歐、南歐、東歐和西歐地區內最有可能與Booking.com合作的酒店業機構員工，並冒充Booking.com發送偽冒電郵，內容包括客戶負面評論、潛在客人要求、網上推廣機會及帳戶驗證等。
該電郵內含一條連結、或一個包含連結的PDF附件，聲稱會將收件人帶到Booking.com，但實際上會被帶到一個仿冒真正Booking.com的網頁並設有虛假的CAPTCHA，令人誤以為Booking.com使用額外的驗證檢查；該網頁會誘導用戶使用鍵盤快速鍵開啟Windows執行視窗、並按指示貼上指定的指令，實際上會透過假CAPTCHA經ClickFix下載惡意內容，進而對受害人進行攻擊。
微軟指出，早在2023年已發現不法份子以此手法，針對Booking.com的酒店住客進行網絡釣魚活動，且之後不斷調整攻擊策略，數量也不斷增加。他們呼籲業界與消費者對網絡釣魚攻擊保持警惕，包括驗證電郵地址真偽、提防任何聲稱「緊急行動」的要求、檢查連結完整性及是否有拼寫錯誤等，需要時應聯絡官方服務供應商。
