Los hackers han dicho que llevaron a cabo un ciberataque destructivo contra el propietario de Holiday Inn, Intercontinental Hotels Group (IHG), "por diversión".
Describiéndose a sí mismos como una pareja de Vietnam, dicen que primero intentaron un ataque de ransomware, luego eliminaron grandes cantidades de datos cuando fueron frustrados.
Accedieron a las bases de datos de la firma FTSE 100 gracias a una contraseña débil y fácil de encontrar, Qwerty1234.
Un experto dice que el caso destaca el lado vengativo de los hackers criminales.
IHG, con sede en el Reino Unido, opera 6.000 hoteles en todo el mundo, incluidas las marcas Holiday Inn, Crowne Plaza y Regent.
El lunes de la semana pasada, los clientes informaron problemas generalizados con la reserva y el check-in.
Durante 24 horas, IHG respondió a las quejas en las redes sociales diciendo que la compañía estaba "en mantenimiento del sistema".
Luego, el martes por la tarde. dijo a los inversores que había sido hackeado.
"Los canales de reserva y otras aplicaciones se han visto significativamente interrumpidos desde ayer", dijo en un aviso oficial presentado en la Bolsa de Valores de Londres.
Los hackers, que se hacían llamar TeaPea, se pusieron en contacto con la BBC en la aplicación de mensajería cifrada, Telegram, proporcionando capturas de pantalla como evidencia de que habían llevado a cabo el hackeo.
Las imágenes, que IHG ha confirmado que son genuinas, muestran que obtuvieron acceso a los correos electrónicos internos de Outlook de la compañía, los chats de Microsoft Teams y los directorios del servidor.
"Nuestro ataque fue planeado originalmente para ser un ransomware, pero el equipo de TI de la compañía siguió aislando los servidores antes de que tuviéramos la oportunidad de implementarlo, por lo que pensamos en tener algo de divertido. En su lugar, hicimos un ataque con limpiaparabrisas", dijo uno de los piratas informáticos.
Un ataque de limpiaparabrisas es una forma de ataque cibernético que destruye irreversiblemente datos, documentos y archivos.
El hotel Candlewood Suites en Times Square de Nueva York fue uno de los hoteles afectados
La firma señala que otros franquiciados que habían adoptado una medida de seguridad basada en el cifrado no se habrían visto afectados.
Pero un experto en ciberseguridad dijo que la lista podría no ser exhaustiva.
"IHG ha estado ofreciendo a sus propiedades franquiciadas un examen gratuito por parte de un equipo forense informático externo", escribió Brian Krebs.
"Pero no todos los propietarios han estado ansiosos por aceptar esa oferta de la compañía.
"Como consecuencia, puede haber más ubicaciones de hoteles violadas que aún no se han agregado a la herramienta de búsqueda estatal".
Otras cadenas hoteleras que han sido golpeadas por hackeos de sistemas de pago en los últimos años incluyen Hyatt, Mandarin Oriental y Trump Hotels.
Estados Unidos ha sido más lento en cambiar a un sistema de chip y pin que muchos otros países, lo que hace que sea más difícil llevar a cabo tales ataques.