Im Bereich der Online-Reisebuchungen häufen sich Berichte über betrügerische Aktivitäten über etablierte Buchungsplattformen. Ein aktueller Fall betrifft eine Buchung über das Portal Booking.com für einen Aufenthalt in der italienischen Hauptstadt Rom. Nach der Ankunft vor Ort stellten die gebuchten Kunden fest, dass sich an der angegebenen Adresse kein Hotel oder Apartment, sondern lediglich ein Seminarraum befand, in dem bereits andere betroffene Reisende warteten.
Nach Angaben des Betreiberunternehmens Booking.com geht der Zwischenfall auf einen gezielten Phishing-Angriff auf das Nutzerkonto eines real existierenden Unterkunftsbetreibers zurück. Kriminelle verschafften sich dabei unberechtigten Zugriff auf das System des Partners, änderten die Kontaktdaten sowie Adressangaben und kontaktierten Gäste direkt über die interne Nachrichtenfunktion der Plattform, um Zahlungen außerhalb der regulären Systeme zu veranlassen. Der Fall verdeutlicht die Schnittstellenproblematik zwischen digitalen Vermittlungsportalen, dezentralen Partnerbetrieben und IT-Sicherheitssystemen in der globalen Touristikbranche.
Abläufe und Ausmaß des Phishing-Vorfalls in Rom
Der konkrete Vorfall wurde öffentlich bekannt, nachdem die Betroffene Julia Baylan, die auf der Plattform Instagram unter dem Namen beauty.by.juli auftritt, über die Geschehnisse berichtete. Nach der Regulären Buchung einer Unterkunft in Rom erhielten sie und ihr Ehemann über die offizielle Nachrichtenfunktion der Booking.com-App eine Aufforderung, Zahlungsdaten über einen externen Internetlink zu bestätigen oder erneut einzugeben. Da dieser Link aufgrund technischer Fehler nicht funktionierte, gaben die Betroffenen keine Kreditkartendaten ein, veranlassten jedoch vorsorglich eine Sperrung ihrer Zahlungskarten.
Vor Ort in Rom zeigte sich das Ausmaß der Manipulation. Anstelle der in der Buchungsbestätigung ausgewiesenen Zimmer trafen die Reisenden an der Zieladresse auf einen Zweckraum. Dort befanden sich zeitgleich weitere Personen, die über dasselbe Portal identische oder gefälschte Buchungen für den gleichen Zeitraum abgeschlossen hatten. Die Betrüger hatten im System des gehackten Unterkunftsbetreibers Fotos, Beschreibungen und Adressdaten verändert, um gefälschte Kapazitäten vorzutäuschen und direkte Zahlungen von Kunden abzuschöpfen.
Reaktionen des Plattformbetreibers und Betreuung betroffener Kunden
Auf Anfrage teilte Booking.com mit, dass die betreffende Unterkunft umgehend auf der Plattform gesperrt wurde, nachdem automatisierte Überwachungssysteme verdächtige Aktivitäten registrierten. Das Unternehmen bestätigte, dass es sich ursprünglich um einen realen Partnerbetrieb handelte, dessen Zugangsdaten durch Phishing-Methoden von Cyberkriminellen entwendet wurden. Mit den entwendeten Zugängen war es den Tätern möglich, im Namen des Hotels oder der Pension gefälschte Zahlungsaufforderungen an Kunden zu versenden, die bereits rechtsgültige Buchungen getätigt hatten.
Als Konsequenz stornierte das Unternehmen alle noch offenen Buchungen, die mit dieser spezifischen Unterkunft verknüpft waren. Für Kunden, deren Anreise unmittelbar bevorstand, wurden nach Unternehmensangaben Ersatzunterkünfte organisiert und eventuell entstehende Mehrkosten übernommen. Bei Buchungen mit einem späteren Anreisedatum sagte das Portal die vollständige Erstattung der bereits gezahlten Beträge zu. Über die genaue Gesamtzahl der weltweit auftretenden Betrugsfälle dieser Art oder die Höhe der finanziellen Schäden machte der Konzern keine genauen Angaben.
Sicherheitsarchitektur und IT-Präventionsmaßnahmen im Online-Reisesektor
Die Vorgehensweise der Täter nutzt eine bekannte Schwachstelle in der Vertriebskette digitaler Reisedienstleistungen. Da Portale wie Booking.com als Vermittler zwischen Millionen unabhängigen Hotelbetreibern, Pensionsinhabern und Endkunden agieren, hängt die Sicherheit des Gesamtsystems maßgeblich von der IT-Sicherheit der einzelnen Partnerbetriebe ab. Erlangen Kriminelle über Schadsoftware oder gefälschte Mitarbeiter-E-Mails die Zugangsdaten eines einzelnen Hotels, können sie innerhalb der offiziellen Plattforminfrastruktur agieren, was das Entdecken für den Endverbraucher erschwert.
Booking.com verwies auf Nachfrage auf den Einsatz mehrstufiger Sicherheitskontrollen. Neue Unterkünfte werden sowohl automatisierten Überprüfungen als auch manuellen Kontrollen unterzogen. Zudem setzt das Unternehmen Systeme ein, die auf Künstlicher Intelligenz und Machine Learning basieren, um das Verhalten auf der Plattform kontinuierlich zu analysieren und auffällige Änderungen an Kontodaten oder ungewöhnliche Nachrichtenaktivitäten frühzeitig zu unterbinden. Dennoch zeigt der Fall in Rom, dass Phishing-Angriffe auf Drittanbieter weiterhin eine Herausforderung für die IT-Infrastruktur von Reiseportalen darstellen.
Empfehlungen für Verbraucher und Verhaltensregeln bei Zahlungsaufforderungen
Um sich vor finanziellen Schäden durch manipulierte Buchungskonten zu schützen, raten Verbraucherschützer und Sicherheitsfachleute zu erhöhter Vorsicht bei der Abwicklung von Zahlungen im Internet. Grundsätzlich sollte bei nachträglichen Zahlungsaufforderungen, die über Chatfenster, E-Mails oder Messengerdienste eingehen, Skepsis walten. Legitime Buchungsplattformen wickeln Transaktionen in der Regel über gesicherte, im Nutzerkonto hinterlegte Zahlungssysteme ab und verlangen keine Überweisungen auf fremde Bankkonten oder externe Links.
Kreditkartendaten oder persönliche Finanzinformationen sollten niemals per E-Mail, Telefon oder über ungeprüfte externe Formulare weitergegeben werden. Wenn Nachrichten von Unterkünften abweichende Zahlungsbedingungen fordern oder Dringlichkeit vortäuschen, wird Anrufern geraten, die Zahlung umgehend zu verweigern und den direkten Kundenservice der Buchungsplattform über die offiziellen Kontaktkanäle zu verständigen. Eine monatliche Überprüfung von Kontoauszügen und die Nutzung von Sicherheitsbestimmungen im Nutzerkonto tragen dazu bei, unberechtigte Abbuchungen frühzeitig zu erkennen und abzuwehren.