Oszustwa na Booking.com 2024:Alert CERT Orange Polska

Oszustwa na Booking.com to dobrze znany mechanizm wyłudzeń, który w sezonie wakacyjnym nabiera szczególnie groźnych form — przestępcy dysponują rzeczywistymi danymi turystów i wykorzystują je do wysyłania spersonalizowanych wiadomości przez WhatsApp, imitując właścicieli obiektów noclegowych.

CERT Orange Polska wydał pilny komunikat ostrzegający przed nową falą wyłudzeń skierowaną do osób rezerwujących noclegi na Booking.com. Kampania ta wyróżnia się na tle poprzednich oszustw wyjątkową wiarygodnością — do ofiar trafiają wiadomości zawierające faktyczne numery ich rezerwacji, pełne personalia osoby, która składała rezerwację, oraz dane konkretnego obiektu noclegowego. Dane nadawcy są zgodne z danymi właściciela miejsca noclegowego, co sprawia, że ataki są trudne do wykrycia nawet dla ostrożnych użytkowników.

Skąd oszuści mają dostęp do twoich danych?

Główną przyczyną obecnej fali oszustw jest wyciek danych z kwietnia 2024 roku, do którego przyznał się sam Booking.com. Serwis nie ujawnił wówczas skali incydentu, ale obecna kampania wyłudzeń sugeruje, że mogło dojść do masowego wycieku informacji o rezerwacjach. Eksperci z CERT Orange Polska upatrują bezpośredniego związku między tym włamaniem a obecnymi atakami — przestępcy wykorzystują dostęp do bazy rezerwacji, aby wysyłać wiadomości, które trudno rozpoznać jako fałszywe.

To pokazuje, jak długoterminowe konsekwencje mogą mieć incydenty bezpieczeństwa w dużych serwisach. Dane, które mogą wydawać się niezagrażające w momencie wycieku, stają się narzędziem do precyzyjnych ataków socjotechnicznych, w których oszuści posługują się faktycznymi informacjami, aby zdobyć zaufanie ofiary.

Jak przebiega atak?

Mechanizm oszustwa jest prosty, ale skuteczny. Turysta, który dokonał rezerwacji na Booking.com, otrzymuje wiadomość za pośrednictwem WhatsApp. Nadawca posługuje się pełnym imieniem i nazwiskiem ofiary, podaje faktyczny numer rezerwacji oraz dane konkretnego obiektu noclegowego — wszystko to sprawia, że wiadomość wydaje się pochodzić od rzeczywistego właściciela.

W treści znajduje się wezwanie do dopłaty pod groźbą anulowania wyjazdu. Presja czasowa i strach przed utratą zaplanowanego urlopu sprawiają, że ofiara nie myśli racjonalnie. Do wiadomości dołączany jest link prowadzący do zewnętrznego, fałszywego panelu płatności. Po kliknięciu ofiara proszana jest o podanie pełnych danych swojej karty płatniczej — numeru, daty ważności, CVV oraz imienia i nazwiska posiadacza. Te informacje natychmiast trafiają w ręce złodziei.

Konsekwencje podania danych karty

Ryzyko	Opis	Skutek
Kradzież pieniędzy	Bezpośrednie transakcje z konta	Całkowite wyczyszczenie konta bankowego
Kradzież tożsamości	Użycie danych do otwarcia kredytów	Zobowiązania finansowe w imieniu ofiary
Dalsze ataki	Sprzedaż danych innym cyberprzestępcom	Wiele fal oszustw na tym samym koncie
Kompromitacja powiązanych kont	Użycie tej samej karty w innych serwisach	Zagrożenie dla wszystkich usług online

Podanie danych karty płatniczej na niesprawdzonych stronach grozi całkowitym wyczyszczeniem konta bankowego. Przestępcy mogą również wykorzystać te dane do otwarcia kredytów w imieniu ofiary lub sprzedać informacje innym cyberprzestępcom, co prowadzi do fal kolejnych ataków.

Jak rozpoznać oszustwo?

CERT Orange Polska przypomina, że oficjalne rozliczenia z Booking.com odbywają się wyłącznie w bezpiecznej domenie serwisu — na stronie booking.com. Każda próba przeniesienia transakcji na zewnętrzne platformy, komunikatory lub przesłanie linku do płatności powinno być natychmiast uznane za próbę wyłudzenia.

Kluczowe sygnały ostrzegawcze:

• Wiadomość na komunikatorze: Booking.com nigdy nie prosi o płatności przez WhatsApp, Messenger czy inne aplikacje
• Link do płatności: Każdy link prowadzący poza oficjalną domenę booking.com to potencjalne oszustwo
• Presja czasowa: Groźba anulowania rezerwacji lub “ostatnia szansa” to typowy trick socjotechniczny
• Niezweryfikowany nadawca: Nawet jeśli wiadomość zawiera rzeczywiste dane, sprawdź numer telefonu właściciela bezpośrednio na stronie obiektu

Co zrobić, jeśli otrzymasz podejrzaną wiadomość?

Jeśli otrzymasz wiadomość o Booking.com z prośbą o płatność, nie klikaj w żadne linki. Zamiast tego zaloguj się bezpośrednio na Booking.com przez przeglądarkę, wpisując adres w pasek URL. Sprawdź status rezerwacji — jeśli wszystko jest w porządku, możesz być pewny, że wiadomość była oszustwem.

Skontaktuj się z obsługą Booking.com przez oficjalny kanał (formularz kontaktowy na stronie) i zgłoś oszustwo. Raportuj również wiadomość jako spam lub oszustwo w WhatsAppie — to pomaga platformie w blokowaniu kont przestępców.

Jeśli już podałeś dane karty, natychmiast skontaktuj się z bankiem i poproś o zablokowanie karty. Bank powinien przeanalizować ostatnie transakcje i w razie potrzeby zwrócić pieniądze.

Skalę problemu pokazują sezony

Podobne incydenty powtarzają się w okresach wzmożonych wyjazdów od wielu lat. CERT Orange Polska zwracał uwagę na takie ataki podczas minionych ferii zimowych oraz w trakcie ubigłorocznych wakacji. Teraz jednak oszustwo na Booking.com jest szczególnie groźne — ze względu na dostęp do rzeczywistych danych rezerwacji, wiarygodność ataków znacznie wzrosła.

Sezony wakacyjne to okres, w którym cyberprzestępcy intensywnie działają, ponieważ wiedzą, że ludzie są skoncentrowani na planowaniu wyjazdów i mogą być mniej ostrożni. Początek lipca to szczyt sezonu — właśnie teraz fala oszustw jest najbardziej intensywna.

Co to oznacza dla ciebie?

Jeśli planujesz urlop i rezerwujesz noclegi na Booking.com, musisz być szczególnie ostrożny w tym sezonie. Wiarygodność obecnych ataków jest wyższa niż kiedykolwiek wcześniej, ponieważ oszuści dysponują rzeczywistymi danymi. Pamiętaj, że żaden serwis rezerwacyjny nie prosi o płatności poza swoją oficjalną domeną — każda wiadomość na komunikatorze z taką prośbą to oszustwo.

Nie ufaj wiadomościom nawet wtedy, gdy zawierają dokładne dane twojej rezerwacji. Zawsze weryfikuj informacje bezpośrednio na stronie serwisu, zalogowując się na swoje konto. Jeśli masz wątpliwości, skontaktuj się z obsługą Booking.com — to zajmie kilka minut, a może uchronić cię przed stratą oszczędności przeznaczonych na urlop.