Waarom Sirvoy je vaker vraagt om jezelf te verifiëren (en hoe je je account veilig houdt)

De afgelopen maanden heb je misschien gemerkt dat Sirvoy je vaker dan voorheen vraagt om jezelf te verifiëren.

We begrijpen dat die extra stappen frustrerend kunnen zijn, vooral wanneer je snel iets wilt regelen. Daarom leggen we graag uit waarom deze controles nodig zijn en wat we doen om je account beter te beschermen.

Accommodatiebedrijven zijn steeds vaker het doelwit van geavanceerde phishingaanvallen. Ook Sirvoy is het doelwit geweest van zo’n aanval.

De aanvallers probeerden toegang te krijgen tot klantaccounts en de gastgegevens die daarin staan. We hebben deze activiteit snel ontdekt, de gebruikte methode gestopt en zijn sindsdien doorgegaan met het verder versterken van de accountbeveiliging.

Een deel van de extra controles die je nu ziet, maakt deel uit van die verbeterde beveiliging. Dankzij jullie feedback blijven we deze controles verfijnen, zodat ze je account beschermen zonder je dagelijkse werkzaamheden onnodig te hinderen.

Waarom de hospitalitysector doelwit is

Accommodatiebedrijven beschikken over informatie die waardevol kan zijn voor fraudeurs: namen van gasten, contactgegevens, aankomstdatums en betaalgegevens.

Met toegang tot een echt account kan een aanvaller een frauduleus bericht bovendien zeer overtuigend laten lijken. Een gast verwacht immers al informatie over een bestaande boeking en zal daardoor minder snel vermoeden dat er iets mis is.

Ook phishingpagina’s en frauduleuze berichten zijn steeds moeilijker van echt te onderscheiden. Ze kunnen er zeer betrouwbaar uitzien en geloofwaardig klinken. Daarom kan accountbeveiliging niet alleen afhangen van het vermogen van gebruikers om iedere verdachte link of elk ongewoon detail zelf te herkennen.

Hoe dit soort phishing werkt

Stel je voor dat iemand vlak voor je echte receptie een tweede receptiebalie neerzet.

Alles ziet er vertrouwd uit. Een gast geeft zijn paspoort en boekingsreferentie. De oplichter geeft die informatie vervolgens ongemerkt door aan de echte receptie. De gast wordt gewoon ingecheckt en merkt niets bijzonders.

Toch heeft de oplichter ondertussen waardevolle informatie verzameld.

Een moderne phishingaanval kan op een vergelijkbare manier werken. Je komt bijvoorbeeld op een pagina die er precies uitziet als Sirvoy, maar die een ander webadres gebruikt. Wanneer je je wachtwoord invoert, wordt dit direct doorgestuurd naar de echte inlogpagina. Hetzelfde kan gebeuren met een verificatiecode, zolang die nog geldig is.

Je kunt daardoor zelfs succesvol worden ingelogd terwijl een aanvaller op hetzelfde moment toegang probeert te krijgen tot je account.

Sterke wachtwoorden en verificatiecodes blijven belangrijke beveiligingsmaatregelen. Maar bij dit type aanval kunnen ze worden omzeild doordat de informatie die je invoert vrijwel direct wordt doorgestuurd naar de echte website.

Passkeys werken anders. Deze toegangscodes controleren of je daadwerkelijk inlogt op de echte website waarvoor de passkey is geregistreerd. Een valse pagina die alleen op Sirvoy lijkt, kan een passkey daardoor niet zomaar onderscheppen en opnieuw gebruiken.

Wat Sirvoy heeft veranderd

Sirvoy was een van de hospitalitysystemen die doelwit werden van een campagne waarbij dit type aanval werd gebruikt.

Een aantal beveiligingsverbeteringen was al vóór deze campagne in ontwikkeling. Zo waren passkeys al in ontwikkeling en werden ze in juni voor alle gebruikers beschikbaar.

Veel van de beveiligingsmaatregelen die we hebben toegevoegd of versterkt, werken op de achtergrond. De extra controles die je af en toe ziet, zijn slechts het zichtbare gedeelte van die bescherming.

Er bestaat geen enkele beveiligingsfunctie die ieder risico kan uitsluiten. Daarom werken we met meerdere beschermingslagen:

• Veiliger inloggen: passkeys bieden sterke bescherming tegen phishing. Daarnaast zijn verificatiecodes via een authenticatie-app beschikbaar voor iedere gebruiker.
• Controles op ongebruikelijke activiteit: wanneer een sessie afwijkend gedrag vertoont, kunnen we je vragen om jezelf opnieuw te verifiëren of de sessie beëindigen.
• Kortere geldigheidsduur van verificatiecodes: codes verlopen nu na tien minuten in plaats van na één uur.
• Extra bescherming bij gevoelige instellingen: voordat je onderdelen van je account opent waar gevoelige informatie en machtigingen worden beheerd, kunnen we je vragen om jezelf opnieuw te verifiëren.

Een gewone reis, een nieuw apparaat of het gebruik van een VPN kan soms ook een extra controle activeren. In plaats van je direct de toegang te ontzeggen, vragen we je meestal om te bevestigen dat jij het bent.

“Beveiliging is moeilijk, omdat je als verdediger alles moet afdekken. Een aanvaller hoeft maar één keer succes te hebben. Daarom gebruiken we meerdere beschermingslagen.” — Johan Wilfer, CTO van Sirvoy

Drie dingen die je vandaag kunt doen om je account te beschermen

1. Stel een passkey in

Met een passkey kun je inloggen met je vingerafdruk, gezicht of de pincode van je apparaat.

Je biometrische gegevens blijven op je apparaat en worden niet naar Sirvoy gestuurd. Omdat een passkey gekoppeld is aan het echte webadres van Sirvoy, werkt deze niet zomaar op een valse website die zich voordoet als Sirvoy.

Een passkey kan het inloggen bovendien eenvoudiger maken, omdat je niet telkens een verificatiecode hoeft in te voeren.

Je kunt een passkey instellen in je gebruikersprofiel of de korte video bekijken voor een stap-voor-stapuitleg.

2. Ga altijd op dezelfde manier naar Sirvoy

Typ het adres van Sirvoy zelf in of gebruik een bladwijzer die je vertrouwt.

Veel phishingaanvallen beginnen met een link in een e-mail of bericht. Door rechtstreeks naar Sirvoy te gaan, verklein je de kans dat je via zo’n link op een valse inlogpagina terechtkomt.

3. Let op wanneer je gebruikelijke manier van inloggen plotseling verandert

Gebruik je normaal een passkey, maar vraagt een pagina je onverwacht om een verificatiecode? Stop dan even voordat je verder gaat.

Er kunnen legitieme redenen zijn waarom een andere inlogmethode wordt weergegeven. Maar als een aanvaller niet langs je passkey komt, kan die ook proberen je naar een minder veilige inlogmethode te leiden.

Voelt iets ongewoon? Sluit de pagina en open Sirvoy opnieuw via je vertrouwde bladwijzer of door het webadres zelf in te voeren.

We blijven onze beveiliging verbeteren

Dit zal niet de laatste aanval op de hospitalitysector zijn en waarschijnlijk ook niet de laatste keer dat we de manier waarop Sirvoy je account beschermt aanpassen.

Je boekingen, tarieven en de persoonsgegevens van je gasten zijn belangrijke informatie. Dat veilig houden heeft daarom onze hoogste prioriteit. Tegelijkertijd vinden we het belangrijk dat beveiligingsmaatregelen je dagelijkse werk niet onnodig moeilijk maken.

Daarom blijven we onze bescherming versterken, onnodige controles verminderen en duidelijk uitleggen wanneer er iets verandert en waarom.

Bedankt voor het vertrouwen dat je in Sirvoy stelt voor je bedrijf.