Darum geht es: Im April wurde bekannt, dass bei Booking Buchungsdaten gestohlen wurden: Namen, E-Mail-Adressen, Telefonnummern und Buchungsdetails. Jedoch keine Zahlungs- und Kreditkartendaten, Passwörter oder Wohnadressen, sagt das Buchungsportal. Nach dem Datendiebstahl warnte Booking seine Kundinnen und Kunden vor möglichen Phishing-Angriffen und anderen Betrugsversuchen. Dem SRF-Konsumentenmagazin «Espresso» sind erste Fälle bekannt.
So läuft das Phishing: Der Autor dieses Textes war Ende April für drei Übernachtungen in einem Hotel in Ligurien, Italien. Ende Mai erhält er eine Whatsapp-Nachricht: Wegen eines technischen Fehlers bei Booking seien ihm für die Übernachtungen in diesem Hotel rund 100 Franken zu viel verrechnet worden. Für die Rückerstattung soll er ein Formular ausfüllen. Dazu ein Link.
Eine Variante des Booking-Phishings: Eine andere Booking-Kundin erhielt eine englische Whatsapp-Nachricht zu einer Buchung für den Herbst. Diese sei im Status «ausstehend» und müsse bestätigt werden, damit sie aktiv bleibe. Es folgt ein Bestätigungslink. Bei beiden Nachrichten ist einerseits der Absender verdächtig, andererseits kommuniziert Booking mit seinen Kundinnen und Kunden nicht über Whatsapp.
Das ist gefährlich an dieser Masche: Die Betrüger können für ihre Phishing-Attacken auf echte Buchungsdaten von Booking zurückgreifen. Beim Autor stimmen der Name des Hotels, die Buchungsnummer sowie die Handynummer. Die angegebenen Kosten für die drei Übernachtungen liegen nur rund zwei Franken neben dem tatsächlichen Rechnungsbetrag. Bei der anderen Kundin war auch das korrekte Datum der Buchung vermerkt.
Das sagt Booking: Das Buchungsportal rät seinen Gästen, wachsam zu bleiben. Zum Umfang der aktuellen Phishing-Welle gibt es gegenüber «Espresso» keine Auskunft. Booking schreibt: «Booking.com wird Gäste niemals bitten, Kreditkartendaten per E-Mail, Telefon, Whatsapp oder SMS weiterzugeben oder eine Zahlung zu tätigen, die von den Zahlungsbedingungen in ihrer Buchungsbestätigung abweicht.»
Was sollen Betroffene tun?: Kundinnen und Kunden, die Fragen zu einer vermeintlichen Nachricht von Booking oder einem Hotel haben, sollen sich an den Kundendienst wenden. Dieser sei rund um die Uhr erreichbar. Das gelte auch, wenn jemand schon Opfer eines Phishing-Versuchs geworden sei, «damit wir den Fall individuell prüfen können».
Warnung vor weiterer Betrugsmasche: Gemäss Booking gebe es Fälle, in denen Hotels direkt Opfer von Phishing-Angriffen geworden seien. Kriminelle hätten sich so Zugriff auf das Booking.com-Konto der Unterkünfte verschafft. So konnten sie sich «vorübergehend als die Unterkunft ausgeben und mit Gästen kommunizieren, um diese zu Zahlungen ausserhalb unserer Plattform zu bewegen». Dieser Betrug betreffe nur einen Bruchteil der Unterkünfte, schreibt Booking und: «Wir konnten die Auswirkungen auf unsere Kunden und Partner durch verschiedene Massnahmen begrenzen.»
