Booking.com hat sich zu den in den vergangenen Monaten bekannt gewordenen Betrugsfällen auf seiner Plattform geäußert und bestätigt, dass es sowohl Angriffe auf Unterkunftspartner als auch einen separaten Vorfall mit dem Zugriff auf Buchungsinformationen gegeben hat. Zugleich betont das Unternehmen, dass die eigene technische Infrastruktur nicht kompromittiert worden sei.
Nach Angaben von Booking.com wurden einzelne Hotels und Unterkunftspartner Ziel professioneller Phishing-Angriffe. Dabei gelang es Kriminellen, Computersysteme der Unterkünfte mit Schadsoftware zu kompromittieren und sich zeitweise als die jeweiligen Hotels auszugeben. In der Folge kontaktierten die Täter Gäste über bestehende Buchungen und forderten sie auf, Zahlungen außerhalb der offiziellen Booking.com-Plattform vorzunehmen.
Booking.com stellt klar, dass es sich hierbei nicht um einen Angriff auf die eigenen Backend-Systeme gehandelt habe. Vielmehr seien die Betrüger über kompromittierte Hotels an Buchungsinformationen gelangt. Nach Unternehmensangaben sei nur ein kleiner Teil der weltweit angeschlossenen Unterkunftspartner betroffen gewesen. Durch verschiedene Sicherheitsmaßnahmen habe man die Auswirkungen für Kunden und Partner erheblich begrenzen können.
Unabhängig davon räumt Booking.com einen weiteren Sicherheitsvorfall ein. Demnach wurden im April verdächtige Aktivitäten festgestellt, bei denen Unbefugte Zugriff auf Buchungsinformationen einiger Gäste erhielten. Betroffen gewesen seien unter anderem Buchungsdetails, Namen, E-Mail-Adressen und Telefonnummern. Finanzielle Informationen, Kreditkartendaten, Passwörter oder Postanschriften seien nach Angaben des Unternehmens hingegen nicht aus den Systemen abgegriffen worden. Nach Entdeckung des Vorfalls seien die Reservierungs-PINs zurückgesetzt und die betroffenen Kunden informiert worden.
Als Reaktion verweist Booking.com auf umfangreiche Sicherheitsmaßnahmen. Dazu zählen verpflichtende Zwei-Faktor-Authentifizierung für Unterkunftspartner, KI-gestützte Betrugserkennung sowie neue Schutzfunktionen im Partnerportal. Hotels können inzwischen festlegen, welche E-Mail-Adressen und Internetlinks für die Kommunikation mit Gästen zugelassen sind. Dadurch sollen Cyberkriminelle daran gehindert werden, kompromittierte Konten für betrügerische Nachrichten zu missbrauchen.
Darüber hinaus bietet Booking.com seinen Partnern nach eigenen Angaben Schulungen, Sicherheitsleitfäden und Unterstützung durch spezialisierte Cybersecurity-Teams an. Ziel sei es, Phishing-Angriffe frühzeitig zu erkennen und betroffene Unterkünfte bei der Wiederherstellung ihrer Systeme zu unterstützen.
Für Verbraucher bleibt dennoch erhöhte Vorsicht geboten. Booking.com weist ausdrücklich darauf hin, dass das Unternehmen Kunden niemals per E-Mail, SMS, WhatsApp oder Telefon zur Übermittlung von Kreditkartendaten oder zu Zahlungen auffordert, die von den in der Buchungsbestätigung vereinbarten Zahlungsbedingungen abweichen. Erhalten Reisende entsprechende Nachrichten, sollten sie diese kritisch prüfen und sich direkt an den Kundenservice wenden.
Das Statement zeigt zugleich, dass Booking.com zwischen zwei unterschiedlichen Sicherheitsvorfällen unterscheidet: Einerseits kompromittierte Hotelbetriebe, über deren Zugänge Betrüger mit Gästen kommunizierten, andererseits einen separaten Vorfall mit dem Zugriff auf Buchungsdaten einzelner Kunden. Offen bleibt jedoch, wie viele Nutzer konkret betroffen waren, in welchen Ländern sich die Vorfälle ereigneten und ob den Betroffenen finanzielle Schäden entstanden sind. Zu diesen Punkten macht das Unternehmen in seiner Stellungnahme keine näheren Angaben.
