Flashcloud 联合创始人 Neycho Tepavicharov 在伦敦一家酒店住宿期间，发现该酒店存在严重的安全违规行为：其预订网站的管理员登录凭证被直接书写在前台后方房间的白板上。
Tepavicharov 注意到前台后的门未关闭，透过门口可以清晰看到白板上的内容。上面用英语明文记录了酒店 Booking.com 管理后台的用户名和密码。任何靠近办公桌的人员均可轻易获取这些信息，甚至无需花费时间抄写。
据 Tepavicharov 分析，掌握这些凭证意味着攻击者可以进行多种恶意操作，包括修改或取消客户预订、查看客人的姓名及联系方式，以及冒充酒店向客人发送欺诈信息。此类泄露账户常被用于发送虚假的“请确认付款”通知，这是业内已知的一种常见骗局。此外，攻击者还可能利用该访问权限干扰酒店正常运营，或针对住客实施更具迷惑性的诈骗活动。具体能否成功入侵取决于账户当前的安全设置状态。
Tepavicharov 随后主动联系酒店经理，展示了这一安全隐患。他描述道，经理对此感到羞愧并表达了感激之情，承认团队此前并未意识到其中的风险。这种做法源于一种常见的错误观念，即认为共享单一登录凭证是最便捷的操作方式。
事件发生后，酒店不仅调整了内部业务流程，还将官方网站迁移至 Flashcloud 托管服务。
Tepavicharov 指出，此案例揭示了多个关键的安全教训。最核心的建议是杜绝共享登录凭证，应为每位员工分配独立的专用账号，并强制启用多因素身份验证（MFA）。他强调，尽管这些原则广为人知，但类似疏忽仍频繁发生。共享密码往往最终会被写在某个“方便”的地方，如墙面或纸张上。正确的做法是将密码存储在专业的密码管理器中，而非物理展示。
