Wyciek danych z Booking.com — hakerzy przechwycili dane rezerwacji tysięcy podróżnych

Co się wydarzyło

12 kwietnia 2026 roku Booking.com, jeden z największych serwisów rezerwacji noclegów na świecie, oficjalnie potwierdził, że hakerzy uzyskali dostęp do danych klientów powiązanych z ich rezerwacjami. Firma rozpoczęła wysyłanie powiadomień do poszkodowanych użytkowników, jednocześnie wymuszając reset kodów PIN do istniejących i przeszłych rezerwacji. Skala naruszenia nie została dokładnie ujawniona — Booking.com odmówiło odpowiedzi na pytanie, ilu klientów dotyczy incydent.

Jakie dane wyciekły

Atakujący przejęli imiona i nazwiska, adresy e-mail, numery telefonów oraz szczegółowe informacje o rezerwacjach, w tym daty pobytu, nazwy obiektów i dodatkowe prośby kierowane do hoteli. Według komunikatu firmy dane finansowe, takie jak numery kart płatniczych, nie zostały naruszone. Nie oznacza to jednak, że poszkodowani mogą spać spokojnie — nawet pozornie niegroźne dane rezerwacyjne stanowią doskonałe paliwo dla oszustów.

Technika ataku — ClickFix i kompromitacja partnerów

Eksperci ds. cyberbezpieczeństwa wskazują, że włamanie mogło nastąpić nie bezpośrednio do systemów Booking.com, lecz przez partnerskie obiekty hotelowe. Przestępcy wykorzystali zaawansowaną technikę socjotechniczną znaną jako ClickFix, polegającą na nakłanianiu pracowników hoteli do uruchomienia złośliwego kodu pod pretekstem rozwiązania problemu technicznego. Po przejęciu konta partnerskiego hotelarza atakujący uzyskiwali dostęp do danych rezerwacji gości za pośrednictwem panelu zarządzania Booking.com.

Phishing z wykorzystaniem prawdziwych danych

Użytkownicy serwisu Reddit zaczęli zgłaszać, że otrzymują niezwykle wiarygodne wiadomości phishingowe zawierające prawdziwe szczegóły ich rezerwacji — numery potwierdzenia, daty pobytu, a nawet nazwy hoteli. Tego typu ataki są szczególnie niebezpieczne, ponieważ ofiara widzi autentyczne dane i naturalnie zakłada, że wiadomość jest prawdziwa. Oszuści żądają „dopłaty” lub „potwierdzenia danych karty”, kierując na fałszywe strony łudząco podobne do Booking.com.

Jak się chronić

Jeśli korzystasz z Booking.com, sprawdź swoją skrzynkę e-mail pod kątem oficjalnego powiadomienia od firmy o naruszeniu danych.

Zmień hasło do konta Booking.com oraz do innych serwisów, na których używasz tego samego hasła.

Traktuj z najwyższą ostrożnością wszelkie wiadomości dotyczące rezerwacji — nawet te zawierające poprawne dane. Nigdy nie klikaj w linki z e-maili ani SMS-ów — loguj się zawsze bezpośrednio przez oficjalną stronę lub aplikację.

Włącz uwierzytelnianie dwuskładnikowe (2FA) wszędzie, gdzie to możliwe.

Monitoruj wyciągi z karty płatniczej powiązanej z rezerwacjami i zgłoś bankowi wszelkie podejrzane transakcje.

Podsumowanie

Wyciek z Booking.com to kolejny dowód na to, że nawet globalne platformy z milionami użytkowników nie są odporne na cyberataki. Co gorsza, skradzione dane rezerwacyjne natychmiast trafiają w ręce oszustów, którzy potrafią spreparować niemal idealnie wyglądające wiadomości phishingowe. Zasada jest prosta: żadna firma nie poprosi Cię o podanie danych karty przez link w e-mailu. Jeśli otrzymasz taką wiadomość — nawet z poprawnymi danymi rezerwacji — to niemal na pewno oszustwo.

Esc