Утечка данных Booking.com: как компрометация партнеров приводит к фишингу клиентов

Booking.com начала уведомлять клиентов о компрометации данных после того, как "неавторизованные лица" получили доступ к информации о бронированиях.

Среди утекших данных:

• детали бронирований;
• имена и фамилии;
• email-адреса;
• физические адреса;
• номера телефонов.

Фактически — полный набор информации, достаточный для правдоподобной имитации общения от имени отеля.

Как произошла атака​

По данным Microsoft, злоумышленники получили доступ через партнеров Booking.com — отели.

Использовалась техника ClickFix — разновидность фишинга, при которой сотрудникам предлагается установить "исправление" системы, замаскированное под полезный инструмент.

Атаку связывают с группировкой Storm-1865, которая:

• атаковала сотрудников отелей по всему миру;
• распространяла вредоносное ПО через поддельные CAPTCHA-страницы;
• использовала инструменты вроде XWorm и VenomRAT.

Как используют украденные данные​

Основной риск — таргетированный фишинг.

Сценарий выглядит так:

1. злоумышленник выдает себя за отель;
2. связывается с клиентом через email или даже через платформу;
3. просит "подтвердить оплату" или ввести данные карты;
4. получает деньги или платежные данные.

За счет реальных данных бронирования такие сообщения выглядят максимально убедительно.

По данным британской службы Action Fraud, с июня 2023 по сентябрь 2024:

• зафиксировано 532 подобных случая;
• общий ущерб составил около £370 000 (~$470 000).

Это не первый случай​

Подобные инциденты уже происходили:

• в 2018 году злоумышленники получили доступ к данным клиентов через фишинг сотрудников отелей;
• тогда же была проведена vishing-атака на 40 отелей в ОАЭ;
• утекли данные более 4 000 клиентов, включая платежную информацию.

Позже регулятор оштрафовал Booking.com на €475 000 за несвоевременное уведомление.

Проблема всей индустрии​

Утечки в туристической сфере — системная проблема.
Недавние инциденты:

• утечка у Eurail (2026) — паспортные данные и личная информация;
• компрометация данных клиентов KLM и Air France (2025);
• атаки группировки Cl0p на Hertz, Dollar и Thrifty через ПО для передачи файлов.

Общий фактор — атаки на третьих лиц, а не на сами компании.

Туристическая индустрия особенно уязвима из-за:

• большого количества партнеров;
• франчайзинговой модели;
• множества интеграций и внешних сервисов.

Что делать пользователям​

Если вы недавно пользовались Booking.com:

• Не доверяйте сообщениям с просьбой "подтвердить оплату", даже если они выглядят официально.
• Проверяйте условия оплаты в подтверждении бронирования.
• Связывайтесь с отелем напрямую, а не через ссылки в сообщениях.
• Следите за банковскими операциями — атака может произойти не сразу.

Booking.com напоминает:

"Если предоплата не указана в условиях, но вас просят заплатить заранее — это, скорее всего, мошенничество."

Источник