Booking.com potwierdził, że hakerzy uzyskali nieautoryzowany dostęp do danych rezerwacyjnych klientów w wyniku naruszenia cyberbezpieczeństwa, w którym doszło do ujawnienia informacji osobowych, takich jak imiona, adresy e-mail, numery telefonów oraz szczegóły rezerwacji.
Platforma podróżnicza z siedzibą w Amsterdamie rozpoczęła powiadamianie dotkniętych użytkowników w niedzielny wieczór o podejrzanej aktywności związanej z niektórymi rezerwacjami. Firma nie podała, ilu klientów zostało dotkniętych incydentem ani kiedy doszło do naruszenia.
Ostatnio zauważyliśmy podejrzaną aktywność dotyczącą szeregu rezerwacji i natychmiast podjęliśmy działania w celu opanowania sytuacji. Bezpieczeństwo Państwa danych osobowych jest dla nas najwyższym priorytetem.
Booking.com — E-mail do dotkniętych klientów
Ujawnione informacje mogą obejmować szczegóły rezerwacji, imiona, adresy e-mail, adresy domowe, numery telefonów oraz wszelkie notatki, które goście udostępnili bezpośrednio zakwaterowaniu. Firma podkreśliła, że podczas incydentu nie doszło do uzyskania dostępu do danych finansowych ani informacji o kartach kredytowych.
Booking.com zresetował numery PIN dla wszystkich dotkniętych rezerwacji i stwierdził, że sytuacja jest obecnie opanowana. Platforma łączy miliony podróżnych z ponad 30 milionami miejsc zakwaterowania na całym świecie za pośrednictwem swojego systemu rezerwacyjnego.
The Guardian przedstawia to jako część niepokojącego wzorca niepowodzeń w zakresie cyberbezpieczeństwa w Booking.com, podkreślając historię naruszeń i kar regulacyjnych firmy. Ich relacja podkreśla szerszy problem branżowy związany z fałszywymi ogłoszeniami i oszustwami, sytuując ten incydent w kontekście systemowych słabości platformy, a nie jako odosobnione zdarzenie.
DutchNews przedstawia prostą relację, która sytuuje wyciek danych w szerszym krajobrazie cyberbezpieczeństwa Holandii, odnosząc się do niedawnego dużego naruszenia w firmie telekomunikacyjnej Odido. Ich relacja podkreśla siedzibę firmy w Amsterdamie oraz środowisko regulacyjne, traktując ten incydent jako znaczący, ale możliwy do opanowania, wymagający przejrzystości i odpowiednich procedur zgłaszania.
To kolejne wyzwanie cyberbezpieczeństwa dla giganta branży podróżniczej, który wcześniej borykał się z oszustwami internetowymi wymierzonymi w jego platformę. Oszuści coraz częściej stosują taktyki phishingowe, aby żądać szczegółów płatności w celu weryfikacji podróży, a następnie pobierają nieautoryzowane kwoty.
W 2018 roku przestępcy zastosowali podobne metody phishingowe, aby ukraść dane logowania pracowników hoteli w Zjednoczonych Emiratach Arabskich, uzyskując dostęp do danych rezerwacyjnych ponad 4 000 użytkowników platformy. Incydent ten skutkował nałożeniem kary w wysokości 475 000 euro po tym, jak Booking.com zgłosił naruszenie do holenderskich regulatorów ochrony danych z 22-dniowym opóźnieniem.
Naruszenie danych ma miejsce w okresie wzmożonej kontroli branży dotyczącej fałszywych ogłoszeń pojawiających się na stronach rezerwacyjnych. Booking.com działa jako część Booking Holdings, amerykańskiej firmy o wartości 137 miliardów dolarów, która posiada również OpenTable, Agodę i Kayak, zatrudniając ponad 24 000 osób na całym świecie.
Firma nie opublikowała szczegółowych informacji technicznych na temat sposobu, w jaki doszło do naruszenia, ani czy jest ono powiązane z trwającymi kampaniami phishingowymi wymierzonymi w hotele korzystające z jej platformy. Według przedstawicieli firmy wszyscy dotknięci klienci zostali już bezpośrednio skontaktowani.