Investigație DSA a UE asupra Booking.com: fraude și phishing

Pe 21 octombrie 2026, Comisia Europeană a deschis o procedură formală împotriva Booking.com în temeiul Regulamentului privind serviciile digitale (DSA, Regulamentul (UE) 2022/2065). Procedura urmează unei investigații preliminare și trebuie să stabilească dacă platforma, desemnată ca platformă online foarte mare (peste 45 de milioane de utilizatori în UE), a evaluat și a atenuat în mod adecvat riscurile de fraudă care trec prin serviciul său. Booking.com a declarat că cooperează pe deplin cu Comisia.

Pentru echipele de securitate, vestea contează dintr-un motiv precis: în centrul ei se află un lanț de atac cunoscut de ani de zile, care pornește de la unitățile de cazare și ajunge la banii clienților, folosind date de rezervare autentice.

Cele trei direcții ale investigației

Cele trei publicații sunt de acord asupra perimetrului procedurii:

• anunțuri frauduloase și neconforme: anunțuri publicate de persoane care se dau drept proprietari ai unor imobile care nu le aparțin, și cazări care nu respectă regulile;
• phishing, smishing și inginerie socială: Comisia va analiza cum partajează Booking.com datele rezervărilor și ale oaspeților cu unitățile de cazare, ce garanții împiedică folosirea lor pentru a cere plăți frauduloase și cum este proiectat serviciul de mesagerie al platformei, care poate fi abuzat pentru phishing. Potrivit The Register, Comisia suspectează și o protecție insuficientă a datelor consumatorilor și ale utilizatorilor profesionali;
• transparența publicității: dacă anunțurile plătite și unitățile care plătesc pentru a urca în rezultate sunt recognoscibile ca atare.

Dacă se constată o încălcare, amenda poate ajunge la 6% din cifra de afaceri anuală mondială, împreună cu obligația de a lua măsuri corective. Comisia amintește că deschiderea procedurii nu anticipează rezultatul și că poate accepta angajamente propuse de companie.

Lanțul de atac

O purtătoare de cuvânt a Comisiei, citată de The Register, descrie schema: escrocii preiau controlul contului unui proprietar, îi înlocuiesc datele de contact și le scriu oaspeților cerând plăți suplimentare. Agenda Digitale explică de ce funcționează: mesajul conține datele corecte ale sejurului și sumele exacte și cere urgent reintroducerea datelor cardului pentru a nu pierde camera. Chiar și un utilizator atent are puține indicii pentru a-l recunoaște.

Campaniile documentate de-a lungul anilor, amintite de Infosecurity Magazine, arată de unde vin accesele:

• 2023: Secureworks (astăzi parte din Sophos) a descris folosirea infostealer-ului Vidar pentru a fura credențialele Booking.com ale hotelurilor partenere, folosite apoi pentru a trimite phishing clienților și a sustrage datele de plată;
• martie 2025: Microsoft a semnalat o campanie ClickFix care imita Booking.com, cu emailuri adresate sectorului ospitalității din America de Nord, Oceania, Asia și Europa, pentru a determina instalarea de malware care fură credențiale;
• iunie 2026: TrendAI Research a identificat emailuri împotriva unităților de cazare partenere din Japonia, deghizate în reclamații ale oaspeților și cereri de recenzie, pentru ca personalul să execute fișiere malițioase.

În termeni MITRE ATT&CK, secvența arată astfel: phishing către personalul unităților de cazare (T1566) și execuție de către utilizator (T1204), furtul credențialelor salvate în browser (T1555.003), folosirea unor conturi valide pe platformă (T1078) și, în final, uzurparea identității față de oaspeți (T1656). Punctul slab nu este un anumit software, ci contul unității de cazare: cine îl controlează vede suficiente date pentru a construi cereri credibile.

Cifrele citate de Comisie

Potrivit The Register, oficialii au amintit că Booking.com a recunoscut, în iunie 2024, o creștere a fraudelor de călătorie între 500 și 900% în cele 18 luni anterioare. Doar în Țările de Jos, tot potrivit The Register (singura sursă pentru această cifră), în prima parte a lui 2026 au fost depuse peste 1.000 de sesizări de fraudă, de zece ori mai multe decât în anul precedent, cu pagube de 82.000 de euro, iar sesizări similare vin din aproape toate statele membre. Un oficial a calificat măsurile luate până acum drept „absolut insuficiente”. Pe viitor, Comisia așteaptă o evaluare a riscurilor mai riguroasă, care ar putea include combaterea abuzurilor sistemului de rezervare, eliminarea rapidă a anunțurilor semnalate, verificarea licențelor și o altă procedură de înrolare a proprietarilor.

Agenda Digitale încadrează cazul în articolele 34 și 35 din DSA (evaluarea și atenuarea riscurilor sistemice) și amintește două precedente privind marketplace-urile: o amendă de 200 de milioane de euro pentru Temu pe 28 mai 2026 și de 550 de milioane pentru AliExpress pe 20 iulie 2026.

Ce înseamnă pentru companiile europene și italiene

DSA se aplică platformei, dar riscul operațional rămâne la unitățile de cazare, foarte numeroase în Italia, și la companiile ai căror angajați rezervă călătorii de serviciu. Pentru hoteluri, pensiuni agroturistice și administratori de închirieri pe termen scurt, un cont compromis înseamnă clienți păcăliți în numele lor, daune de imagine și posibile încălcări ale securității datelor personale ale oaspeților, de evaluat conform GDPR.

Ce să faci acum

Unități de cazare și administratori de imobile

• activează autentificarea cu mai mulți factori pe conturile platformelor de rezervare, acolo unde este disponibilă, cu utilizatori nominali pentru personal și revocare imediată pentru cine pleacă din firmă;
• gestionează rezervările de pe stații de lucru actualizate, cu antivirus/EDR activ, fără a salva parolele în browser;
• tratează cu prudență atașamentele și linkurile din reclamații, cereri de recenzie sau documente „de la un oaspete” și instruiește personalul să nu lipească niciodată comenzi în fereastra Run sau în PowerShell la cererea unei pagini web (tehnica ClickFix);
• verifică periodic datele de contact, datele de încasare și accesările contului: o modificare pe care nu ai făcut-o tu este un semn de compromitere;
• dacă suspectezi un acces neautorizat, schimbă credențialele de pe un calculator curat și anunță platforma și oaspeții cu rezervări active.

Companii și responsabili de călătorii

• amintește-le angajaților că o cerere de reintroducere a cardului primită prin mesaj, SMS sau chat trebuie verificată întotdeauna din aplicația sau site-ul oficial, niciodată din linkul primit;
• ia în calcul carduri de companie virtuale sau cu limite pentru călătorii.

Monitorizare tehnică

• caută pe stațiile de lucru procese PowerShell sau mshta lansate de explorer.exe cu comenzi ofuscate și accesări ale depozitelor de credențiale ale browserelor de către procese neobișnuite.

Cum ajută ARXDOME

ARX Expose semnalează domeniile asemănătoare cu al tău înregistrate de alții, conturile companiei implicate în breșe de date și configurația SPF și DMARC a poștei, utile împotriva celor care se dau drept compania ta. ARX Shield urmărește starea protecției stațiilor de lucru, iar ARX Horizon îți permite să cauți indicatorii de compromitere ai campaniilor cunoscute.

Ultima actualizare: 22 octombrie 2026