Por qué Sirvoy te pide verificar tu identidad más a menudo (y cómo mantener tu cuenta segura)

En los últimos meses, puede que hayas notado que Sirvoy te pide verificar tu identidad con más frecuencia que antes.

Sabemos que estos pasos adicionales pueden resultar frustrantes cuando intentas hacer algo rápidamente, así que queremos explicarte por qué los hemos incorporado.

Los negocios del sector hotelero son cada vez más el objetivo de sofisticados ataques de phishing. Sirvoy también fue objeto de uno de estos ataques.

Los atacantes intentaron acceder a cuentas de clientes y a la información de huéspedes almacenada en ellas. Detectamos rápidamente la actividad, detuvimos el método que estaban utilizando y desde entonces hemos seguido reforzando la seguridad de las cuentas.

Algunas de las verificaciones adicionales que ves hoy forman parte de esa protección reforzada. Gracias a tus comentarios, seguimos ajustándolas para que protejan tu cuenta sin interferir en tu trabajo diario más de lo necesario.

Por qué el sector hotelero es un objetivo

Los alojamientos guardan información que puede ser valiosa para los estafadores: nombres de huéspedes, datos de contacto, fechas de llegada e información de pago.

Si un atacante consigue acceder a una cuenta real, puede crear un mensaje fraudulento muy convincente, ya que el huésped espera recibir comunicaciones relacionadas con una reserva que realmente existe.

Además, las páginas y los mensajes falsos son cada vez más difíciles de detectar. Pueden parecer muy auténticos, tanto por su aspecto como por la forma en que están redactados. Por eso, la seguridad no puede depender únicamente de que cada persona detecte todos los detalles sospechosos.

Cómo funciona este tipo de phishing

Imagina que alguien instala una segunda recepción justo delante de la verdadera.

Todo parece estar en orden. Un huésped entrega su pasaporte y los datos de su reserva, y el impostor pasa discretamente esa información a la recepción real. El huésped consigue hacer el check-in, así que aparentemente no ha ocurrido nada extraño.

Pero el impostor también ha obtenido lo que necesita para entrar.

Un ataque de phishing moderno puede funcionar de una forma muy parecida.

Llegas a una página que parece Sirvoy, pero utiliza una dirección web diferente. La contraseña que introduces se envía inmediatamente a la página de inicio de sesión real. Si introduces un código de verificación, este también puede transmitirse mientras siga siendo válido.

Incluso es posible que acabes iniciando sesión correctamente mientras el atacante consigue acceso al mismo tiempo.

Las contraseñas seguras y los códigos de verificación siguen ofreciendo una protección importante. Sin embargo, este tipo de ataque puede, en ocasiones, eludir esas medidas al transmitir directamente al sitio real la información que introduces.

Las llaves de acceso (passkeys) funcionan de otra manera. Comprueban que realmente estás iniciando sesión en el sitio web auténtico de Sirvoy antes de funcionar. Por eso, una página falsa que imite a Sirvoy no puede simplemente capturarlas y reutilizarlas.

Qué ha cambiado Sirvoy

Sirvoy fue uno de los sistemas del sector hotelero afectados por una campaña que utilizaba este tipo de ataque.

Algunas mejoras de seguridad ya estaban en marcha. Las llaves de acceso se encontraban en desarrollo antes de esta campaña y pasaron a estar disponibles para todos los usuarios en junio.

La mayoría de las medidas de protección que hemos añadido o reforzado funcionan de forma discreta en segundo plano. Las comprobaciones adicionales que ves de vez en cuando son solo la parte visible.

No existe una única función de seguridad capaz de protegerlo todo, así que utilizamos varias capas de protección:

• Opciones de inicio de sesión más seguras. Las llaves de acceso ofrecen una protección sólida frente a este tipo de phishing, y todos los usuarios pueden utilizar códigos generados mediante una aplicación de autenticación.
• Comprobaciones ante actividad inusual. Si detectamos algo fuera de lo habitual en una sesión, es posible que te pidamos que vuelvas a verificar tu identidad o que finalicemos la sesión.
• Códigos de verificación con una duración más corta. Ahora los códigos caducan después de diez minutos en lugar de una hora.
• Comprobaciones adicionales en áreas sensibles. Te pedimos que vuelvas a verificar tu identidad antes de acceder a ajustes de la cuenta desde los que se pueden gestionar información confidencial y permisos.

Los viajes, el uso de un dispositivo nuevo o una VPN también pueden activar ocasionalmente alguna de estas comprobaciones. Por eso, en general, preferimos pedirte que confirmes que realmente eres tú en lugar de bloquear directamente el acceso.

«La seguridad es complicada porque, cuando eres quien defiende, tienes que cubrir todos los frentes. Al atacante le basta con conseguir entrar una sola vez», explica Johan Wilfer, nuestro director de tecnología. «Por eso utilizamos varias capas de protección».

Tres cosas que puedes hacer hoy para mantener tu cuenta segura

1. Activa una llave de acceso

Una llave de acceso te permite iniciar sesión utilizando tu huella dactilar, reconocimiento facial o el PIN de tu dispositivo.

Tus datos biométricos permanecen en tu dispositivo y nunca se envían a Sirvoy. Como la llave de acceso está vinculada a la dirección web auténtica de Sirvoy, no funcionará en una página falsa que intente imitarla.

También puede hacer que iniciar sesión sea más rápido, ya que no necesitas introducir un código de verificación cada vez.

Puedes configurarla en tu perfil de usuario o ver un breve vídeo para descubrir cómo funciona.

2. Accede a Sirvoy siempre de la misma manera

Escribe tú mismo la dirección de Sirvoy o utiliza un marcador en el que confíes.

Muchos ataques de phishing comienzan con un enlace incluido en un correo electrónico o mensaje. Acceder directamente a Sirvoy elimina esa primera oportunidad para que una página falsa se interponga entre tú y el inicio de sesión real.

3. Ten cuidado si tu forma habitual de iniciar sesión cambia de repente

Si normalmente utilizas una llave de acceso, pero una página te pide inesperadamente un código de verificación, no continúes de inmediato.

Puede haber motivos legítimos para que aparezca otro método de inicio de sesión. Sin embargo, un atacante que no consiga superar la protección de tu llave de acceso también podría intentar dirigirte hacia una opción menos segura.

Si algo te parece extraño, cierra la página y vuelve a abrir Sirvoy utilizando tu marcador habitual o escribiendo la dirección web directamente.

Seguiremos adaptándonos

Este no será el último intento de ataque contra el sector hotelero y probablemente tampoco será la última vez que ajustemos la forma en que Sirvoy protege tu cuenta.

Tus reservas, tarifas y los datos personales de tus huéspedes están almacenados allí. Mantener esa información segura debe ser nuestra prioridad, pero la seguridad tampoco debería complicar tu trabajo diario más de lo necesario.

Seguiremos reforzando esa protección, reduciendo las molestias innecesarias y explicando claramente cuándo cambia algo y por qué.

Gracias por confiar en Sirvoy para gestionar tu negocio.