Przed wakacyjnym szczytem NASK i CERT Polska opisują trzy najczęstsze schematy oszustw wykorzystujących markę Booking.com: fałszywe strony płatności, wiadomości wysyłane z przejętych kont obiektów oraz nieuczciwe oferty publikowane na prawdziwej platformie. Wspólny mianownik jest jeden, próba wyciągnięcia od gościa danych logowania, danych karty albo pieniędzy poza standardowym procesem rezerwacyjnym.
NASK zwraca uwagę, że w sezonie urlopowym przestępcy grają przede wszystkim na pośpiechu i presji: straszą anulowaniem rezerwacji, żądają pilnej dopłaty albo proszą o „ponowną weryfikację” płatności. Najczęściej wykorzystują do tego wizerunek Booking.com, ale sam mechanizm dotyczy szerzej całego segmentu rezerwacji online.
Najgroźniejszy wariant dla hoteli: przejęte konto obiektu
Najbardziej problematyczny jest scenariusz, w którym oszuści przejmują konto gospodarza lub obiektu działającego już na platformie. Wtedy wiadomość trafia do gościa w wątku rezerwacyjnym, może zawierać prawdziwe dane pobytu i wyglądać jak standardowa prośba o dopłatę. To właśnie ten wariant najmocniej zaciera granicę między zwykłą próbą phishingu a incydentem, który uderza bezpośrednio w reputację hotelu czy apartamentu.
Opisany przez CERT Polska pierwszy model jest prostszy, użytkownik dostaje link do strony łudząco podobnej do Booking.com, ale działającej pod inną domeną. Celem jest wyłudzenie loginu albo danych karty. Trzeci scenariusz dotyczy z kolei fałszywej oferty wystawionej na prawdziwej platformie przez nieuczciwego wystawcę. W takim przypadku ciężar reakcji spoczywa przede wszystkim na samej platformie, która decyduje o usunięciu oferty lub blokadzie konta.
Czerwone flagi są od dawna te same
NASK, policja i sam Booking wskazują praktycznie identyczny zestaw sygnałów ostrzegawczych: presję czasu, żądanie płatności poza platformą, link prowadzący do zewnętrznej strony, podejrzany adres domeny, prośbę o podanie danych karty lub hasła, a także nietypowe uzasadnienie dopłaty. Booking w swoich materiałach bezpieczeństwa podkreśla, że obsługa klienta nie powinna żądać hasła do konta ani pełnych danych finansowych, a jeśli gospodarz prosi o płatność nieprzewidzianą w warunkach rezerwacji, nie należy jej realizować. Policja z kolei przypomina, by przed wpłatą sprawdzić zgodność danych kontaktowych obiektu i możliwość bezpośredniego kontaktu telefonicznego.
Oznacza to konieczność znacznie ostrzejszej higieny bezpieczeństwa po stronie kont partnerskich i komunikacji z gośćmi. Booking przypomina partnerom, że konta ekstranetowe zawierają dane osobowe i szczegóły płatności gości, a dodatkowe ustawienia bezpieczeństwa oraz 2FA mają ograniczać ryzyko nieautoryzowanego dostępu. Problem przestaje więc być wyłącznie kwestią ostrożności konsumenta, a staje się elementem operacyjnego ryzyka po stronie hotelu.
Gdzie zgłaszać incydenty
NASK wskazuje, że dwa pierwsze warianty, tj. fałszywa domena i próba wyłudzenia dopłaty z przejętego konta, należy traktować jako phishing i zgłaszać do CERT Polska, także przez usługę „Bezpiecznie w sieci” w aplikacji mObywatel. Jeżeli problem dotyczy fałszywej oferty opublikowanej na prawdziwej platformie, zgłoszenie powinno trafić bezpośrednio do administratora serwisu, a w razie oszustwa również do organów ścigania.
Dodaj komentarz