Derfor beder Sirvoy dig om at bekræfte din identitet oftere (og sådan holder du din konto sikker)

I løbet af de seneste måneder har du måske lagt mærke til, at Sirvoy beder dig om at bekræfte din identitet oftere end tidligere.

Vi ved, at de ekstra trin kan være irriterende, især når de påvirker dit daglige arbejde, så vi vil gerne forklare, hvorfor vi har indført de ekstra sikkerhedstiltag.

Overnatningssteder bliver i stigende grad mål for avancerede phishingangreb, og Sirvoy er også blevet mål for denne type angreb.

I angrebene forsøgte man at få adgang til kundekonti og de gæsteoplysninger, de indeholdt. Vi opdagede hurtigt aktiviteten, stoppede den metode, der blev brugt, og har siden fortsat med at styrke sikkerheden for vores brugeres konti.

Nogle af de ekstra kontroller, du nu oplever i systemet, er en del af denne øgede beskyttelse. Takket være jeres feedback fortsætter vi med at finjustere disse sikkerhedstjek, så de beskytter jeres konto uden at påvirke jeres daglige arbejde mere end nødvendigt.

Hvorfor overnatningsbranchen bliver angrebet

Overnatningssteder ligger inde med oplysninger, der kan være værdifulde for svindlere: gæsternes navne, kontaktoplysninger, ankomstdatoer og betalingsoplysninger.

Med adgang til en brugerkonto kan svindlerne få en falsk besked til at virke troværdig, fordi gæsten allerede forventer at høre om en reel booking.

Det er også blevet sværere at gennemskue falske sider og beskeder. De kan virke meget troværdige, og derfor er det ikke nok blot at regne med, at folk selv opdager enhver mistænkelig detalje.

Sådan fungerer denne type phishing

Forestil dig, at nogen opstiller en ekstra reception lige uden for din rigtige reception.

Alt ser rigtigt ud. En gæst afleverer sit pas og sin reservationsbekræftelse, hvorefter svindleren diskret sender oplysningerne videre til den rigtige reception. Gæsten bliver stadig tjekket ind, så det ser ikke ud til, at noget er gået galt.

Men samtidig har svindleren fået de oplysninger, der skal til for selv at få adgang.

Et moderne phishingangreb kan fungere på nogenlunde samme måde.

Du kommer ind på en side, der ligner Sirvoy, men som bruger en anden webadresse. Din adgangskode sendes direkte videre til den rigtige login-side. Hvis du indtaster en bekræftelseskode, kan den også sendes videre, mens den stadig er gyldig.

Du kan endda ende med at blive logget ind som normalt, samtidig med at svindlerne får adgang.

Stærke adgangskoder og bekræftelseskoder giver stadig vigtig beskyttelse. Men denne type angreb kan i nogle tilfælde omgå dem ved at sende det, du indtaster, direkte videre til den rigtige side.

Adgangsnøgler fungerer anderledes. De kontrollerer, at du logger ind på Sirvoys rigtige websted, før de virker. Derfor kan en falsk side, der ligner den rigtige, ikke bare opsnappe og genbruge disse adgangsnøgler.

Hvad vi har ændret i Sirvoy

Sirvoy var blandt de systemer i overnatningsbranchen, der blev ramt af en bølge af denne type phishingangreb.

Nogle sikkerhedsforbedringer var allerede under udvikling. Arbejdet med adgangsnøgler var allerede begyndt før angrebene, og funktionen blev gjort tilgængelig for alle i juni.

Størstedelen af de sikkerhedstiltag, vi har indført, foregår faktisk i baggrunden, uden at du lægger mærke til det. De ekstra kontroller, du af og til møder, er derfor kun en mindre del af den samlede beskyttelse.

Der findes ikke én enkelt sikkerhedsfunktion, der løser alt og derfor bruger vi flere lag af beskyttelse samtidig:

• Sikrere login-metoder. Både adgangsnøgler, som giver stærk beskyttelse mod denne type phishing, og koder fra en godkendelsesapp er begge metoder, der er tilgængelige for alle brugere.
• Kontrol ved usædvanlig aktivitet. Hvis noget ved en session ser usædvanligt ud, kan vi bede dig om at bekræfte din identitet igen eller afslutte sessionen.
• Bekræftelseskoder med kortere gyldighed. Koder udløber nu efter ti minutter i stedet for en time.
• Ekstra kontrol i forbindelse med følsomme områder. Vi beder dig om at bekræfte din identitet igen, før du får adgang til kontoindstillinger, hvor følsomme oplysninger og tilladelser kan administreres.

Nogle gange kan disse kontroller udløses, hvis du for eksempel prøver at logge ind med en ny enhed, bruger en VPN eller rejser til et andet område og prøver at bruge systemet dér. I disse og andre tilfælde beder vi dig derfor om at bekræfte, at det virkelig er dig, frem for blot at blokere din adgang.

“Det svære ved sikkerhed er, at du skal forsøge at dæmme op for angreb, der kan komme fra alle mulige sider og på mange forskellige måder. Et angreb behøver derimod kun at lykkes én gang. Derfor bruger vi flere lag af beskyttelse,” siger Johan Wilfer, vores CTO.

Tre ting, du kan gøre i dag for at holde din konto sikker

1. Aktivér en adgangsnøgle

Med en adgangsnøgle kan du logge ind med dit fingeraftryk, dit ansigt eller din enheds pinkode.

Dine biometriske oplysninger bliver på din enhed og sendes aldrig til Sirvoy. Fordi en adgangsnøgle er knyttet til Sirvoys rigtige webadresse, virker den ikke på en falsk side, der blot ligner Sirvoy.

Det kan også gøre det hurtigere at logge ind, fordi du ikke behøver at indtaste en bekræftelseskode hver gang.

Du kan oprette en i din brugerprofil eller se en kort video om, hvordan det fungerer.

2. Gå til Sirvoy på samme måde hver gang

Skriv selv Sirvoys adresse, eller brug et bogmærke, du har tillid til.

Mange phishingangreb begynder med et link i en e-mail eller besked. Ved at gå direkte til Sirvoy fjerner du den første mulighed for, at en falsk side kan komme mellem dig og den rigtige login-side.

3. Vær påpasselig, hvis dit normale login pludselig ændrer sig

Hvis du normalt bruger en adgangsnøgle, men en side pludselig beder dig om en bekræftelseskode i stedet, bør du kontrollere, om alt er i orden, før du fortsætter.

Der kan være legitime grunde til, at en anden loginmetode vises. Men det kan også være svindlere, der ikke kan komme forbi din adgangsnøgle, og derfor prøver at få dig til at vælge en mindre sikker metode.

Hvis noget virker usædvanligt, så luk siden og åbn Sirvoy igen via dit normale bogmærke eller den webadresse, du plejer at bruge.

Vi fortsætter med at tilpasse os

Den bølge af angreb, vi har set for nylig, bliver næppe den sidste af sin slags i overnatningsbranchen, og det bliver sandsynligvis heller ikke sidste gang, vi justerer den måde, Sirvoy beskytter din konto på.

Dine reservationer, priser og gæsternes personoplysninger ligger alle gemt i systemet. Det vigtigste er at beskytte disse oplysninger, men sikkerheden bør selvfølgelig ikke gøre dit daglige arbejde mere besværligt end nødvendigt.

Vi vil fortsætte med at styrke sikkerheden i systemet, reducere unødvendigt besvær og tydeligt forklare, når noget ændrer sig, og hvorfor.

Tak, fordi du har tillid til Sirvoy. Vi vil fortsætte med at gøre vores bedste for at beskytte din konto og dine oplysninger.