Cyberprzestępcy za cel ataku wybrali serwis umożliwiający rezerwację nieruchomości od osób prywatnych - Airbnb. W ataku phishingowym wyłudzono dane osobowe oraz dane kart płatniczych użytkowników Airbnb, wynajmujących swoje nieruchomości..

Wykorzystano w przesłanej wiadomości aktualizację polityk prywatności serwisu związaną z wprowadzeniem RODO.

Użytkownicy Airbnb, aby móc akceptować rezerwacje składane przez innych użytkowników, musieli zgodzić się na nowe warunki polityki prywatności związane z wprowadzeniem RODO. W tym celu należało kliknąć w link zawarty w wiadomości e-mailu.

Na stronie, ofiary były zmuszone do podania danych osobowych, danych logowania oraz szczegółów dotyczących karty płatniczej. Zdobyte informacje mogą posłużyć cyberprzestępcom do kradzieży pieniędzy z kont bankowych ofiar.

Jak podkreśla ESET należy zawsze sprawdzać dokładnie adres e-mail, czy jego nazwa zgadza się z tą, pod którą do tej pory występowała. W tym przypadku przestępcy wykorzystali domenę @mail.airbnb.work, a prawdziwe e-maile wysyłane są z adresu w domenie @airbnb.com.