酒店業正面對新型網絡攻擊：你嘅會員積分可能係目標

2026 年 7 月，全球多間酒店集團接連收到偽裝成客人投訴信嘅惡意電郵。呢啲電郵睇落好似正常嘅客戶投訴——抱怨房間質素、服務態度、噪音問題等等——但附件或連結入面其實隱藏咗惡意軟件（malware），一旦酒店員工打開，就會感染酒店嘅內部系統。

對一般旅客嚟講，你可能覺得「呢啲係酒店嘅 IT 問題，同我有咩關係？」。事實上，關係好大。黑客嘅最終目標好可能唔係酒店本身，而係酒店系統入面儲存嘅客人資料——包括你嘅姓名、電郵地址、電話號碼、信用卡資料，甚至係酒店會員賬戶嘅登入憑證同積分餘額。

攻擊手法分析：點解假投訴信咁難分辨？

根據網絡安全專家嘅初步分析，呢輪攻擊有幾個特點令佢特別危險：

高度個人化：黑客似乎做咗前期資料搜集，假投訴信入面會引用真實嘅酒店名稱、房間類型、甚至係真實存在嘅員工名字，令電郵睇落極具可信性。

模仿內部流程：電郵格式同一般酒店收到嘅官網投訴表格提交內容一模一樣，包括「Booking Reference Number」、「Room Number」、「Date of Stay」等欄位，好難一眼睇出係偽造。

惡意軟件潛伏期長：一啲分析指出，呢批惡意軟件具有「潛伏模式」——感染後唔會即刻發作，而係靜靜收集數據幾星期甚至幾個月，等到收集到足夠嘅資訊先至一次過外傳，令酒店更難察覺。

跨品牌攻擊：受影響嘅唔止一個酒店集團，萬豪、希爾頓、洲際、凱悅等多個國際品牌都報告收到類似嘅攻擊電郵，顯示呢次係一個有組織、跨品牌嘅攻擊行動。

對常旅客會員嘅潛在風險

酒店系統被入侵，對你嘅影響可能包括以下幾個層面：

會員賬戶被盜：黑客獲取你嘅會員登入資料後，可以登入你嘅賬戶，將積分轉去其他賬戶或者兌換禮品卡。呢類「積分盜竊」已經唔係新聞——過去幾年，萬豪 Bonvoy、希爾頓 Honors、IHG One Rewards 都出現過類似嘅會員賬戶被入侵事件。

個人資料外洩：你嘅護照號碼、信用卡資料、住址等個人資料可能被黑客收集，用於身份盜竊或其他詐騙活動。

針對性釣魚攻擊：黑客攞到你嘅真實入住記錄後，可能向你發送極具針對性嘅釣魚電郵（例如偽裝成你住過嗰間酒店嘅「bill review」或「invoice 更正」通知），提高你中招嘅機會。

香港旅客應該採取嘅保護措施

以下係幾個即時可以做嘅賬戶保護措施：

啟用雙重認證（2FA）：呢個係最有效嘅保護措施。大部分酒店集團嘅會員系統已經支援雙重認證（透過 SMS 或 authenticator app），但預設係關閉嘅。請即刻登入你嘅萬豪、希爾頓、IHG 等會員賬戶，喺安全設定入面啟用 2FA。

使用獨立密碼：唔好將酒店會員密碼同你其他重要賬戶（電郵、銀行、社交媒體）設成一樣。一個酒店會員賬戶被盜，唔應該令你其他賬戶都陷入風險。

定期檢查賬戶活動：每個月至少登入一次你嘅酒店會員賬戶，檢查積分餘額有冇異常變動、有冇唔屬於你嘅兌換記錄。越早發現異常，越容易追討。

警惕可疑電郵：收到任何聲稱嚟自酒店嘅電郵嗰陣，留意寄件人電郵地址（係咪真係酒店嘅官方 domain？）、有冇文法錯誤、係咪要求你點擊連結輸入密碼。有懷疑嘅話，唔好點擊任何連結，直接喺瀏覽器打入酒店官網登入查詢。

如果你嘅積分被盜，點樣處理？

萬一發現積分被盜，請立即採取以下行動：

  1. 聯絡酒店集團會員服務中心：即刻打電話報告異常，要求凍結賬戶同調查。大部分酒店集團有 24 小時會員熱線。

  2. 更改密碼同檢查 recovery email/phone：確保黑客冇改過你嘅備援電郵或電話號碼（佢哋有時會改咗呢啲設定，令你之後無法重設密碼）。

  3. 檢查電郵登入記錄：如果你嘅電郵都被入侵（黑客可能透過電郵重設密碼），請檢查電郵賬戶嘅登入記錄，睇下有冇可疑嘅登入位置或裝置。

  4. 報警：喺香港，網絡罪案可以向香港警務處網絡安全及科技罪案調查科（CSTCB）舉報。

酒店集團一般都會賠償被盜嘅積分，但調查過程可能需要幾個星期，期間你可能會錯過一啲限時嘅兌換機會。所以預防永遠勝於治療。

常見問題 FAQ

問：點樣知道酒店集團有冇被入侵？ 答：酒店集團一般唔會主動公佈呢類資訊（除非涉及大規模數據外洩，法律上需要通報）。建議定期留意 Have I Been Pwned，用你嘅電郵地址檢查有冇出現喺已知嘅資料外洩事件入面。

問：我用第三方 OTA（例如 Expedia、Agoda）訂酒店，資料會唔會都受影響？ 答：如果你透過 OTA 訂房，你嘅部分個人資料（姓名、聯絡方式）會由 OTA 傳送俾酒店。如果酒店系統被入侵，呢啲資料同樣有風險。

問：手機 app 訂酒店係咪比網站更安全？ 答：手機 app 通常比網站更安全，因為 app 通訊經過加密、而且較少受到瀏覽器插件或惡意擴充程式嘅威脅。但 app 本身如果有漏洞，同樣可以被攻擊。

資料來源

  • View from the Wing：Hotels Are Being Hit With Fake Guest Complaint Emails That Install Malware
  • 各大酒店集團官方安全公告
  • Krebs on Security 網絡安全報導

相關文章