Wie een hotelkamer boekt via de app of website van Booking, waant zich veilig. Maar die veiligheid blijkt niet gegarandeerd. Uit gesprekken met circa vijftien Nederlandse gedupeerden blijkt dat het platform kampt met een hardnekkig fraudeprobleem.
Cybercriminelen zijn sinds enige tijd in staat om reizigers via de officiële en vertrouwde chatomgeving van Booking op te lichten. Zij gaan daarbij geraffineerd te werk. Omdat zij beschikken over de exacte boekingsgegevens, zijn hun berichten nauwelijks van echt te onderscheiden, blijkt uit screenshots die deze site heeft ingezien.
De Nederlanders namen contact op nadat deze site vorige week berichtte over het verhaal van Mohamed Abidar, die tijdens een reisje naar Madrid 564 euro kwijtraakte door te chatten met cybercriminelen in de officiële chatfunctie van de boekingssite.
Booking erkent dat dit probleem speelt, maar legt de oorzaak bij de hotels. Volgens het bedrijf zijn de eigen backendsystemen niet gehackt; criminelen krijgen juist via gerichte hackpogingen toegang tot accounts van ‘sommige accommodaties’.
In de val door kerstdrukte
Voor naar schatting duizenden reizigers wereldwijd heeft die werkwijze grote gevolgen. Dat ondervond ook Marc Awater, die ruim een jaar van tevoren een chic hotel voor de kerstperiode reserveerde.
Maanden later ontving hij via de officiële Booking-chat plotseling vier dwingende berichten met het verzoek zijn betaalgegevens opnieuw door te geven. „Dat ik erin trapte heeft waarschijnlijk te maken met de stress”, blikt Awater terug. „Ik was aan het werk en die kerstlocatie moest en zou doorgaan.”
Hij vulde zijn creditcardgegevens in, maar kreeg vrijwel direct daarna twijfels. Daarom liet hij zijn kaart meteen blokkeren, waardoor hij uiteindelijk geen geld kwijtraakte. „Van Booking hoorde ik niets meer. Ik boek sindsdien via Klarna, omdat mijn betaalgegevens dan veiliger zijn.”
Volledige reactie Booking
Hoe verklaren jullie dat criminelen toegang krijgen tot de chatfunctie en over exacte boekingsgegevens beschikken: is Booking gehackt of ligt de oorzaak bij de hotels?
Cybercriminaliteit en phishing specifiek is een ernstig probleem voor de hele e-commerce sector en de maatschappij. Professionele criminelen opereren op grote schaal, met uitgebreide middelen. Wat we helaas zien is dat sommige van onze accommodatie partners het doelwit zijn geworden van criminelen die uiterst geavanceerde phishing-technieken gebruiken.
Als zo’n aanval lukt kunnen zij in bepaalde gevallen toegang krijgen tot het account van een partner. De backend-systemen en de infrastructuur van Booking.com zijn niet gehackt. Vergeleken met de miljoenen boekingen die we wekelijks faciliteren, blijven incidenten als deze gelukkig nog steeds zeldzaam.
Welke concrete maatregelen neemt Booking.com om de chat- en berichtenfunctie beter te beveiligen?
Wij nemen de veiligheid van onze reizigers en partners uiterst serieus, en dankzij een brede reeks beveiligingsmaatregelen en strenge detectiesystemen blokkeren we het overgrote deel van de verdachte activiteiten voordat die reizigers of partners bereiken.
We investeren continu in maatwerk-technologie, machine learning-modellen en toegewijde teams die dag en nacht verdachte activiteiten monitoren, voorkomen en blokkeren.
Voorbeelden van concrete maatregelen zijn een aanvullende tweefactorauthenticatie bij ongewone login-activiteiten en de mogelijkheid voor partners om links die niet centraal zijn goedgekeurd niet toe te staan in de chatfunctie.
We tonen ook waarschuwings banners tijdens het boekingsproces en in de chatfunctie, en hebben een speciale pagina op onze website met veiligheidstips voor reizigers en partners.
Meerdere gedupeerden melden dat de klantenservice na een oplichting nauwelijks bereikbaar is of uitsluitend met AI en standaardmails reageert; waarom is er in dit soort noodsituaties geen snelle, persoonlijke ondersteuning beschikbaar?
Wij erkennen dat fraudezaken meer contact, bewijsmateriaal en afstemming vereisen dan andere klantenservice verzoeken, waardoor de afhandeling langer kan duren.
We zetten ons in om reizigers zo snel mogelijk te ondersteunen, zaken op te lossen en te leren van situaties waarin dat niet is gelukt. Onze klantenservice zal (waar mogelijk op basis van de ontvangen informatie) contact opnemen met de reizigers die deze meldingen deden om ze alsnog goed te ondersteunen.
In hoeverre neemt Booking.com verantwoordelijkheid voor de financiële schade van klanten die via jullie officiële chatomgeving zijn opgelicht, en worden deze gedupeerden door jullie gecompenseerd?
Reizigers staan bij ons voorop en ons doel is hen zo snel mogelijk te ondersteunen, inclusief bij het terugvorderen van eventueel verloren geld.
Als de financiële instelling de afschrijving niet kan terugboeken, stappen wij natuurlijk in met een terugbetaling.
Welk concreet advies hebben jullie voor klanten die onverhoopt toch in deze chatfraude zijn getrapt en betaal- of persoonsgegevens hebben gedeeld?
Klanten die gedupeerd zijn, raden we aan direct contact op te nemen met onze klantenservice voor ondersteuning.
Wat is jullie belangrijkste advies aan actieve gebruikers van Booking om te voorkomen dat zij in de toekomst slachtoffer worden van deze geraffineerde berichten?
Het is goed te benadrukken dat Booking.com of een accommodatie nooit via WhatsApp, sms of e-mail om betaalgegevens zal vragen.
We adviseren reizigers ook om de betalingsdetails in hun boekingsbevestiging goed te checken, want daarin staat precies wanneer en hoe ze een boeking zullen betalen.
Ontvangen ze een betalingsverzoek dat afwijkt van die boekingsbevestiging of vertrouwen ze een bericht niet, dan raden we aan er niet op in te gaan en het meteen te melden bij onze klantenservice, die 24/7 opereert.
‘Ik vertrouwde het niet’
Ook Mark Huls verloor het vertrouwen in Booking. Tijdens een reis van Cancún (Mexico) naar Vancouver (Canada) boekte hij via het platform een kamer in het Auberge Vancouver Hotel.
Ongeveer twintig minuten na de reservering ontving hij via de officiële Booking-omgeving een bericht van het ‘hotel’ met een link om zijn boeking te bevestigen.
„Ik reis fulltime en boekte in het verleden veel via Booking, maar vertrouwde het bericht niet”, vertelt Huls. In plaats van op de link te klikken, zocht hij via Google de website van het hotel op en stuurde hij een e-mail met de vraag of het hotel het bericht daadwerkelijk had verstuurd.
Geen excuses, geen vergoeding en geen oplossing. Sindsdien gebruik ik Booking niet meer. –
Mark Huls
Toen Huls na een lange reis in Vancouver aankwam, bleek zijn reservering niet te bestaan. Hoewel hij geen geld verloor, omdat hij de boeking nog niet had betaald, moest hij op het laatste moment een ander hotel regelen tegen een aanzienlijk hogere prijs.
Ook zijn ervaring met de Booking-klantenservice stelde teleur. „Na de standaardmelding dat men binnen 24 uur contact zou opnemen, heb ik nooit meer iets vernomen. Ik ontving alleen een e-mail dat de site gehackt was. Geen excuses, geen vergoeding en geen oplossing. Sindsdien gebruik ik Booking niet meer.”
Zonder creditcard op reis
Frank Kluwen overkwam het zelfs twee keer via de officiële Booking-chat. De eerste keer vulde hij zijn gegevens in, maar wist hij zijn creditcard nog net op tijd te blokkeren. Dat zorgde meteen voor veel stress. „Omdat ik vlak daarna naar Mexico vertrok en zonder creditcard op reis moest.”
Enkele maanden later gebeurde hetzelfde bij een andere boeking. Dit keer weigerde Kluwen te betalen. Toch bleven de oplichters hem bestoken met berichten waarin al zijn persoonlijke reis- en adresgegevens stonden.
Uit angst liet hij tijdens zijn vakantie zelfs iemand in zijn huis verblijven. „Kortom, Booking heeft de beveiliging nog steeds niet op orde en doet nog steeds niets met de klachten.”
‘Zeldzame incidenten’
Booking stelt dat individuele hotels het doelwit zijn van zeer gerichte phishingaanvallen. „Wat we helaas zien, is dat een aantal van onze accommodatiepartners het doelwit is geworden van criminelen die uiterst geavanceerde phishingtechnieken gebruiken”, legt een woordvoerder uit.
Als zo’n aanval slaagt, kunnen zij in bepaalde gevallen toegang krijgen tot het account van een partner, aldus het bedrijf. Booking benadrukt dat het om zeldzame incidenten gaat, afgezet tegen de miljoenen wekelijkse boekingen.
Praten met een robot
Cybercriminelen slaan niet alleen toe via de chatfunctie van Booking, maar ook via WhatsApp. Hendrik boekte een rondreis langs zes hotels en ontving vlak voor vertrek een WhatsAppbericht over haar hotel in Madrid.
„Ik twijfelde wel iets, maar het portaal waar ik naartoe ging had echt de look-and-feel van Booking en ze beschikten over onze correcte gegevens”, vertelt Hendrik. „Ik heb zelfs nog het bedrag gecheckt in de app van Booking.” Na enige aarzeling keurde hij de betaling toch goed.
Toen de fraude aan het licht kwam, kon de bank niets meer doen omdat hij de betaling zelf had goedgekeurd. Hendrik blokkeerde zijn creditcard en probeerde Booking telefonisch te bereiken, maar liep vast.
Zij zijn telefonisch niet te bereiken. –
Hendrik, gedupeerde
„Zij zijn telefonisch niet te bereiken. Ik heb dit meerdere malen geprobeerd, maar krijg alleen een AI-stem en die geeft aan niets te kunnen doen. De melding dus maar via de app gedaan en daarop nooit iets gehoord.”
Zelfs daarna hielden de cybercriminelen niet op. Later ontving hij opnieuw een phishingbericht over een andere boeking, waarbij de daders wederom beschikten over al zijn correcte gegevens.
Booking – dat een deel van de verhalen voorgelegd kreeg – erkent dat de afhandeling van dit soort dossiers vaak te lang duurt, belooft verbetering en zegt contact op te nemen met de gedupeerden. „We zetten ons in om reizigers zo snel mogelijk te ondersteunen, zaken op te lossen en te leren van situaties waarin dat niet is gelukt.”
Dubbele boeking van 8000 euro
Wouter de Vries heeft Booking inmiddels volledig de rug toegekeerd. Bij hem ging het eerst mis nadat hij via WhatsApp een verdachte betaallink had ontvangen.
Kort daarna liep het opnieuw fout door een hapering in de Booking-app. De Vries dacht dat hij een boeking kosteloos had geannuleerd, maar de app liep vast. Pas vlak voor vertrek bleek dat beide hotels nog steeds geboekt waren.
„Daarna begon de ellende. Booking was nauwelijks bereikbaar en de medewerker aan de telefoon kon mij niet helpen. Ook het hotel wilde niets meer annuleren, omdat de commissie al aan Booking was betaald. Uiteindelijk zat ik met twee hotelboekingen van elk ongeveer 4000 euro.” De Vries moest een van de reizen met fors verlies via Marktplaats verkopen.
Fraude op tijd herkennen
Niet iedereen trapt in de oplichting. Sander Reibestein werd vooraf door zijn hotel in Porto gewaarschuwd voor een actieve hack. Toen hij via WhatsApp een vaag bericht kreeg met het verzoek zijn gegevens aan te vullen, wist hij direct dat het niet klopte.
Hij deelde screenshots met Booking en het hotel, waarna het probleem werd opgelost. Tegenwoordig vertrouwt Reibestein elk bericht met een betaalverzoek niet meer.
Compensatie
Voor reizigers die door deze vorm van chatfraude wél geld verliezen, belooft Booking onder voorwaarden een vergoeding. „Als de financiële instelling de afschrijving niet kan terugboeken, stappen wij natuurlijk in met een terugbetaling.”
Daarnaast adviseert het platform reizigers om betaalverzoeken altijd zorgvuldig te controleren. Booking benadrukt dat het bedrijf of een hotel nooit via WhatsApp, sms of e-mail om betaalgegevens zullen vragen.
Bron
-
Dit bericht verscheen ook op: www.ad.nl