Uma aplicação de spyware de uso do consumidor foi encontrada em funcionamento nos sistemas de check-in de pelo menos três hotéis Wyndham nos Estados Unidos, descobriu o TechCrunch.

A aplicação, chamada pcTattletale, capturava furtivamente e continuamente capturas de tela dos sistemas de reserva do hotel, que continham detalhes dos hóspedes e informações do cliente. Graças a uma falha de segurança no spyware, essas capturas de tela estão disponíveis para qualquer pessoa na internet, não apenas para os usuários pretendidos do spyware.

Detalhes de convidados e reservas capturados e expostos

O pcTattletale permite a quem o controla visualizar remotamente o dispositivo Android ou Windows alvo e seus dados, de qualquer lugar do mundo. O site do pcTattletale diz que o aplicativo “funciona invisivelmente em segundo plano em seus desktops e não pode ser detectado”.

Porém, o erro significa que qualquer pessoa na internet que entenda como a falha de segurança funciona pode baixar as capturas de tela capturadas pelo spyware diretamente dos servidores do pcTattletale.

O pesquisador de segurança Eric Daigle disse ao TechCrunch que encontrou os sistemas de check-in de hotel comprometidos como parte de uma investigação sobre spyware de uso do consumidor. Esses aplicativos muitas vezes são conhecidos como “stalkerware” por sua capacidade de rastrear pessoas — incluindo cônjuges e parceiros domésticos — sem o conhecimento ou consentimento deles.

Daigle disse que tentou avisar o pcTattletale sobre o problema, mas a empresa não respondeu, e a falha permaneceu não corrigida no momento da publicação. Daigle divulgou detalhes limitados sobre o bug de vazamento de captura de tela do pcTattletale em um post de blog curto, sem fornecer especificidades para não ajudar atores mal-intencionados a tirar proveito da falha.

É impossível saber quem instalou o aplicativo ou como ele foi instalado — por exemplo, se os funcionários do hotel foram enganados a instalá-lo, ou se o proprietário do hotel pretendia que o spyware fosse utilizado para monitorar o comportamento dos funcionários. O pcTattletale se comercializa como uma forma de monitorar os funcionários, entre outros usos.

O gerente de um hotel afetado contou ao TechCrunch por telefone que não sabia que o spyware estava tirando capturas de tela do computador de check-in. Os gerentes dos outros dois hotéis não retornaram as ligações ou e-mails do TechCrunch. O TechCrunch não está nomeando os hotéis específicos devido ao risco de retaliação contra os funcionários do hotel.

O porta-voz da Wyndham, Rob Myers, disse ao TechCrunch em um e-mail: “A Wyndham é uma organização de franquias, o que significa que todos os nossos hotéis nos Estados Unidos são de propriedade independente e operados”. A Wyndham não disse se estava ciente de que o pcTattletale estava sendo usado nos computadores da recepção de seus hotéis de marca ou se o uso do pcTattletale foi aprovado pelas políticas da própria Wyndham.

A Booking.com disse ao TechCrunch que seus próprios sistemas não foram comprometidos pelo spyware, mas que este caso parecia ser um exemplo de como os sistemas de hotéis são alvos de criminosos cibernéticos para obter acesso às contas do hotel.

“Alguns de nossos parceiros de acomodações infelizmente foram alvos de táticas de phishing muito convincentes e sofisticadas, encorajando-os a clicar em links ou baixar anexos fora de nosso sistema que permitem a carga de malware em suas máquinas e, em alguns casos, levam ao acesso não autorizado às suas contas da Booking.com,” disse Angela Cavis, porta-voz da Booking.com. “Esses atores ruins então tentam se passar pelo parceiro (ou até mesmo pela Booking.com) — às vezes de forma muito convincente — para solicitar o pagamento dos clientes fora da política em sua confirmação de reserva.”

A BBC News relatou em dezembro passado que criminosos cibernéticos obtiveram acesso aos portais de administração de hotéis individuais que usam o Booking.com. Com esse acesso, os criminosos enviaram mensagens aos clientes a partir do aplicativo da empresa para enganá-los a pagar a eles em vez do hotel.

Não se sabe se o pcTattletale ou outro spyware está vinculado a incidentes anteriores, e a Booking.com disse que estava investigando.

“Todos os rastros cobertos”

Há uma longa história de aplicativos de stalkerware que supostamente se comercializam para usos legítimos — rastrear seus próprios filhos é legal nos Estados Unidos — mas também promovem, ou declaram abertamente, que os aplicativos podem ser usados para atingir pessoas sem o conhecimento delas, frequentemente cônjuges e parceiros domésticos, o que é ilegal.

O pcTattletale é vendido sob o pretexto de software de monitoramento de crianças e funcionários, mas a empresa também promove seu aplicativo para uso contra “cônjuges que se preocupam que seu parceiro possa estar traindo”.