Gastgeber aufgepasst neuer Fishing Betrug auf AirBNB

[Michael8853]

Hallo zusammen,

heute habe ich folgende Nachricht von einem potentiellen Gast erhalten. In der Nachricht ist ein falscher irreführender link auf eine Spiegelseite von airbnb enthalten, die den Gastgeber auffordert sich anzumelden. Hiermit bekommt der Angreifer die Zugangsdaten vom Airbnb Konto des Gastgebers.

Airbnb Filter ist nicht in der Lage die gefälschte auth-airbnb.com Domain raus zu filtern, da diese Domain mit airbnb.com endet. Wenn man nachschaut wer der Inhaber von der gefälschten Domain ist, kommt man auf den einen Nutzer aus Kyrgyzstan  https://www.whois.com/whois/auth-airbnb.com

Ich habe dieses Sicherheitsproblem an Airbnb Support weitergeleitet. Aber wer weiß wie schnell die Eskalieren und das Sicherheitsteam bitten den Bug zu schließen.

Hier die vollständige Nachricht vom Betrüger:

Ich habe bereits für die Buchung bezahlt, aber mein Konto gibt immer noch an, dass die Buchung nicht bestätigt ist. Als ich den Airbnb-Support kontaktierte, wurde mir gesagt, dass sie derzeit Probleme mit dem System haben und dass der Vermieter die Anweisungen befolgen muss, die sie für Situationen wie diese gesendet hatten:

"Hallo Silva, ich sehe Ihre Transaktionsnummer: 4712 , Sie haben nach einer provisorischen Buchung eine Zahlung geleistet, aber diese wurde nicht automatisch bestätigt, bitte kontaktieren Sie den Vermieter und senden Sie ihm unsere Antwort":

Der Vermieter muss die Buchungsnummer überprüfen: HM8AF9CF8Y und wenn die Buchung nicht in der Liste erscheint, bestätigen Sie sie manuell mit der Buchungsnummer:

https://auth-airbnb.com/hosting/reservations/details/APSOOXFJN

Machen Sie sich keine Sorgen, wenn Ihre Buchung nicht bestätigt wird, werden wir eine Rückerstattung beantragen, die etwa 25 Arbeitstage dauert."

Leider kann ich Ihnen keinen Screenshot der Korrespondenz und Zahlung senden, da diese Funktion nicht existiert, aber ich denke, der technische Support hat Recht.

Ich hoffe, Sie bestätigen meine Buchung, da ich mein Geld nicht verlieren möchte und die Rückerstattung meinen gesamten Urlaub in Anspruch nehmen möchte. Ich hoffe, meine Buchung verläuft reibungslos, ich bin entschlossen, einen Urlaub zu verbringen. Ich bin wirklich sehr verärgert über diese Situation.

[Bettina337]

Hallo Michael, genau das Gleiche- exakt gleicher Text ist mir gestern auch passiert. Alle meine Gäste haben dann in meinem Namen Nachricht auf meinem Account bekommen, dass sie auch wieder einen Link betätigen sollen. Ich habe allen schreiben müssen, dass das ein Betrug ist.

Jetzt habe ich Sorge, dass sie auch über die App auf meine Kontodaten zugreifen können…

liebe Grüße Bettina 

[Michael8853]

Das tut mir für dich leid. Ich habe direkt am 3. Mai an Airbnb support die Attacke eskaliert. Habe mehrmals gebeten, dass die schnellstmöglich den Fehler korrigieren. 

Es sieht wohl so aus, dass Airbnb hierbei leider zu langsam vorgeht.

Ich empfehle dir dringend dein Passwort zu ändern. Bevor der Angreifer was schlimmes mit deinem Account anrichtet.

[Juliane]

Es tut mir leid zu lesen, dass Betrüger ihr Unwesen treiben und der Support scheinbar nicht entsprechend reagiert und/oder geantwortet hat. 😔

@Michael8853, war der Betrüger denn ein Gast? Also mit einem "richtigen" Airbnb Konto und getätigter Buchungsanfrage oder einfach eine Nachricht aus dem Blauen?

@Bettina337, heißt das, dass sich jemand in in dein Konto geloggt hat, wenn die Nachrichten von deinem Konto aus an Gäste verschickt wurden?

Ich hätte jetzt gedacht, dass solange man sich nicht über eine unseriöse URL anmeldet, es keine Gefahr geben sollte. Diese Nachrichten sind über die Plattform gekommen? Entschuldigt die Fragerei, ich würde das gerne genauer verstehen.

Wir sind hier zwar mit dem Support nicht verbunden, weswegen ich auch nicht weiß, was mit solchen Meldungen passiert oder wieder derzeitige Stand der Dinge ist, aber es wäre gut, es genau zu verstehen.

[Anna15636]

Ja, der Betrüger war ein potenzieller Gast mit einem Konto. Ich habe direkt das Konto als verdächtig an airbnb gemeldet, damit der Nutzer schnellstmöglich von airbnb gesperrt wird. 
Aber das hilft nur mäßig, da der der Betrüger mehrere Konten auf airbnb anlegen kann. 

Airbnb hat die Kommunikation mit potentiellen Gästen so gelöst, dass man keine Telefonnummer oder Email oder Links in den Nachrichten verwenden darf. Einfach aus dem Grund damit der Vertrag über airbnb zustande kommt und nicht auf direktem Wege. Bei dieser auth-airbnb.com Domain macht airbnb kein Filter, da es davon ausgeht, dass es sich um eine interne Domain handelt. Und das ist der Sicherheitsfehler von airbnb. 

[Bettina337]

Hallo Juliane, erst hat sich der „ Gast“ ganz normal über Airbnb gemeldet, dann kam nach einiger Konversation die Nachricht, dass man die Buchungsanfrage über einen Link nochmal bestätigen soll. Das war der Fehler!

Danach konnte der „ Gast“ in meinem Namen alle meine Gäste anschreiben.

Ich habe zweimal mit Airbnb telefoniert. Jedes Mal wurde mir mitgeteilt, dass ich nochmal zurückgerufen werde.

Das einzige, was kam, war dann 2 Tage später eine vorgefertigte Nachricht.

Also steht man ziemlich alleine da und kann dann alle Karten sperren, Gäste informieren, zur Polizei laufen etc.

Liebe Grüße Bettina 

[Juliane]

@Bettina337 

Danke für die Erklärung! Jetzt habe auch ich es verstanden.

Wenn sich jemand in dein Konto einloggt, das ist schon unheimlich, wenn man daran denkt worauf die Person alles Zugang hatte. Da tut es mir umso mehr leid zu hören, dass der Support nicht gut unterstütz hat.

Für alle, die sicher gehen möchten, dass Links, die nicht von offizieller kommen, oder auch allgemein, hier sind ein paar Tipps wie man Webseiten und E-Mail-Adressen erkennen kann.

In deinem Fall vermute ich, dass womöglich auch darauf verwiesen wird und wenn man sich auf einer falschen Webseite anmeldet, ist es die eigene Schuld. Nichtsdestotrotz muss es ja auch ernst genommen werden und solche Web-Adressen hervorgehoben werden, oder eine Warnung wenn man schon geklickt hat, oder oder oder....

Inwiefern das technisch möglich ist, weiß ich natürlich dann auch wieder nicht.

Aber ich habe doch schon den Eindruck, dass man da wenigstens etwas anders hätte antworten können. Allgemein beim Kundenservice finde ich es wichtig, dass man sich auch an seine Versprechen hält, wie zum Beispiel zurückrufen und nicht nur ein Template zu schicken.

Ich hoffe, man hat sich wenigstens bedankt, dass du es gemeldet hast. Denn im Interesse von uns (Airbnb) kann es ja auch nicht sein. Ich bedanke mich aber an alle für die Warnung an andere und an das melden an den Support.

Diese "Gäste" sind wahrscheinlich ähnlichem erlegen und womöglich haben einige es gar nicht mitbekommen, dass jemand mit deren Daten nach mehr Daten auf der Plattform phischt. Weswegen sich da vielleicht auch nicht so viel tut von außen betrachtet. Aber auch hier wäre es natürlich besser, Betroffene besser zu informieren und wenn man schon nicht helfen kann, wenigstens Tipps geben.

Ich hoffe, das geht gut aus für dich und der Ärger bald überstanden ist. 😊