Reisende, die bei Transcontinents auf La Réunion gebucht haben, erhalten gefälschte WhatsApp-Nachrichten, in denen ihr Hotel, ihre Aufenthaltsdaten und ihre Buchungsreferenz bereits bekannt sind. Das Reisebüro bestätigt, dass ein unbefugter Zugriff auf sein Tool am 20. und 21. Oktober 2026 einen Datenabgriff ermöglicht hat. Die Betrüger nutzen diese Angaben anschließend, um eine dringende Bestätigung zu verlangen, manchmal verbunden mit einer Zahlungsaufforderung.
Genau darin liegt die Falle für die Kunden: Die Angaben zur Reise stimmen, aber der Absender nicht. Eine korrekte Buchungsreferenz reicht nicht mehr aus, um eine Nachricht als echt zu erkennen.
Echte Informationen in einer gefälschten Aufforderung
In seiner am 30. Oktober aktualisierten Warnmeldung beschreibt Transcontinents Nachrichten, die vorgeben, vom Hotel zu stammen. Darin wird dazu aufgefordert, innerhalb sehr kurzer Zeit einem Link zu folgen. Das Reisebüro betont, dass es niemals dazu auffordert, eine Buchung zu bestätigen oder über einen per WhatsApp oder SMS verschickten Link zu bezahlen.
Zu den abgegriffenen Daten gehören Namen, E-Mail-Adressen, Telefonnummern sowie Angaben zu Hotels, Flügen und Reisedaten. Nach Angaben des Unternehmens speichert das kompromittierte Tool keine Bankdaten: Diese gehören daher nicht zu den angekündigten abgegriffenen Daten.
Dass keine Bankdaten abgegriffen wurden, beseitigt das Betrugsrisiko nicht. Die Angaben zum Aufenthalt können dazu dienen, Reisende davon zu überzeugen, anschließend ihre Kartendaten auf einer von den Betrügern kontrollierten Seite einzugeben. Der ursprüngliche Datendiebstahl liefert den Kontext; mit der gefälschten Bestätigung sollen die Betrüger die Zahlung oder die noch fehlenden Angaben erlangen.
Ein Reisebüro von La Réunion und gezielt angesprochene Kunden
Cyberattaque.org, das den Vorfall am 6. November ausführlich beschreibt, erinnert daran, dass Transcontinents seit 1959 auf La Réunion ansässig ist und über sechs Agenturen verfügt. Das Unternehmen verkauft insbesondere Aufenthalte im Indischen Ozean, Flugtickets und Hotelbuchungen.
Das Medium hebt hervor, dass die Kontaktversuche gezielt erfolgen: Sie greifen echte Reiseinformationen auf, statt wahllos versandte Nachrichten zu sein. Es weist darauf hin, dass die Zahl der betroffenen Kunden und der Umfang der abgegriffenen Daten nicht veröffentlicht wurden. Auch mögliche Verluste durch Betrugsversuche wurden nicht beziffert.
Die Warnung richtet sich an die von diesem Datenabgriff betroffenen Personen, nicht an alle Reisenden auf La Réunion. Sie belegt auch nicht, dass die in den Nachrichten genannten Hotels selbst gehackt wurden. Ihr Name kann verwendet werden, weil er in einer Buchung enthalten war.
Den Aufenthalt überprüfen, ohne dem erhaltenen Link zu folgen
Als Erstes sollte man das Reisebüro unter der bereits bekannten oder auf der offiziellen Website gefundenen Telefonnummer kontaktieren. Transcontinents gibt außerdem die Nummer 0262 94 28 00 an. Am besten verwendet man diese Kontaktdaten, statt auf die Nummer zu antworten, von der gerade mit einer Stornierung gedroht wurde.
Eine dringliche Nachricht beweist nicht, dass eine Buchung tatsächlich gefährdet ist. Bevor man ein zweites Mal bezahlt oder Angaben eingibt, sollte man den Status der Buchung beim gewohnten Ansprechpartner bestätigen lassen. Das Reisebüro kann die Buchung dann in seinen eigenen Systemen überprüfen, ohne dass der Reisende dem verdächtigen Absender seine Daten erneut übermitteln muss.
Dieses Vorgehen entspricht dem Präventionsmerkblatt von Cybermalveillance.gouv.fr: Im Zweifelsfall sollte man sich direkt an die Organisation wenden, deren Identität verwendet wird. Der öffentliche Dienst erinnert auch daran, dass sich die Adresse einer betrügerischen Website nur geringfügig von der Adresse des echten Dienstes unterscheiden kann.
Wenn bereits Bankdaten eingegeben wurden
Dann sollte man umgehend seine Bank kontaktieren. Transcontinents empfiehlt, die Karte sperren zu lassen, unter Beifügung von Screenshots der Nachricht Anzeige zu erstatten und das Reisebüro zu informieren. Auch Cybermalveillance rät dazu, Beweise aufzubewahren, insbesondere die erhaltene Nachricht, und die Karte sperren zu lassen, wenn Zahlungsdaten übermittelt wurden oder betrügerische Abbuchungen festgestellt werden.
Anders liegt der Fall, wenn man die Nachricht lediglich erhalten hat. Dann sollte man den Link meiden und den Absender melden. Wurde auf einer gefälschten Seite ein Passwort angegeben, empfiehlt der öffentliche Dienst, es auf der echten Website zu ändern und es auch überall dort zu ersetzen, wo es wiederverwendet wurde.
Diese Maßnahmen richten sich gegen konkrete Risiken. Sie setzen weder voraus, dass alle Empfänger bezahlt haben, noch dass jede Bankkarte kompromittiert ist oder alle Aufenthalte storniert werden müssen.
Der Zugriff ist gesperrt, die Beobachtung der Daten geht weiter
Transcontinents gibt an, den unbefugten Zugriff unterbunden, die Sicherheit seines Tools verstärkt, die CNIL benachrichtigt und Anzeige erstattet zu haben. Das Reisebüro kündigt an, die betroffenen Kunden einzeln per E-Mail zu informieren.
Die Sperrung des Zugriffs lässt die bereits kopierten Angaben jedoch nicht verschwinden. Deshalb ist bei weiteren Kontaktversuchen im Zusammenhang mit dem Aufenthalt Vorsicht geboten – bis zur Abreise und auch danach. Am besten überprüft man die Angaben weiterhin beim bekannten Anbieter, selbst wenn eine Nachricht die geplante Reise genau kennt.
Illustrationsfoto: WhatsApp-Nutzung, ohne Zusammenhang mit den betrügerischen Nachrichten in diesem Fall. Santeri Viinamäki / Wikimedia Commons / CC BY-SA 4.0.
