Mysleli jste si, že Booking je sázka na jistotu? Ne, vaše peníze nejsou v bezpečí a nakonec můžete skončit i v poutech.
Představte si, že si po dlouhém cestování s těžkými kufry v ruce plánujete odpočinout v útulném apartmánu v centru Londýna. Místo příjemného recepčního a klíčů od pokoje vás však před budovou přivítá ozbrojená parlamentní stráž. Přesně to se stalo zákazníkům, kteří si přes populární platformu Booking.com rezervovali ubytování v Portcullis House, kde sídlí kanceláře britských poslanců. Tento incident byl sice zpočátku prezentován jako kuriózní výstřelek internetového věku, ve skutečnosti však odhaluje mnohem temnější a zásadnější problém. Ukazuje totiž, jak snadno dokážou kriminální sítě zneužít důvěryhodnost globálního giganta a přeměnit jeho vlastní ochranné nástroje ve zbraň proti nicnetušícím spotřebitelům.
Aféra, kterou detailně rozkrývá šetření britské spotřebitelské organizace Which? spolu s vyšetřováním Evropské komise, zasahuje do samotného srdce digitálního obchodu. Už nejde jen o to, že na internetu existují fiktivní inzeráty. Závažnější je zjištění, že podvodné nabídky aktivně využívají prioritní algoritmy platformy, parazitují na reputaci zavedených ubytovatelů a získávají posvěcení dokonce i od asistentů řízených umělou inteligencí.
Z venkovské chalupy lůžko ve Westminsteru
Způsob, jakým se fiktivní ubytování dostává do nabídky, prošel v posledních letech dramatickou evolucí. Doby, kdy útočníci vytvářeli průhledně falešné profily od nuly, jsou minulostí. Podvodníci se dnes stále častěji zaměřují na takzvaný takeover, tedy převzetí účtu již existujícího, reálně fungujícího ubytovacího zařízení.
Analytici z Which? popsali tento mechanismus na konkrétním případu nabídky v těsné blízkosti slavného Big Benu. Původní internetová adresa profilu odkazovala na zapadlou vesničku v hrabství Somerset. Útočníci, kteří se k účtu dostali pravděpodobně pomocí kybernetického útoku na počítačový systém majitele, však změnili název i fotografie a vytvořili z něj iluzi luxusního apartmánu v srdci metropole.
Pro běžného uživatele je taková past téměř neviditelná. Nabídka nevstupuje do prostředí platformy jako neznámý prvek zvenčí. Čeká na zákazníka uvnitř systému, chráněna dobrou historií a kladným hodnocením původního ubytovatele. Přestože inzerát obsahoval křiklavé rozporuplnosti, jako například telefonní číslo s předvolbou z Kalifornie a poštovní směrovací číslo patřící westminsterskému přístavišti, interní kontrolní systémy Bookingu žádné podezření nevznesly.
Společnost Booking.com sice ve svém oficiálním vyjádření uvedla, že šlo o důsledek externích phishingových útoků na zařízení samotných partnerů a že zasažené rezervace byly pozastaveny, to však řeší pouze následek, nikoli příčinu. Nabízí se totiž zásadní otázka: jak je možné, že systém nedokáže automaticky detekovat okamžik, kdy se zavedená venkovská chalupa zničehonic promění v městský byt na adrese zákonodárného sboru?
Když algoritmy pomáhají podvodníkům
Případ však odhalil ještě hlubší systémové trhliny. Podvodná nabídka s názvem The London Crown, která směrovala oklamané hosty do jednoho z londýnských pubů, využívala zvýhodněný program Preferred Plus. Tento komerční produkt přímo od Bookingu poskytuje ubytovatelům za vyšší provizi prioritní pozice ve vyhledávání a vyšší viditelnost mezi ostatními nabídkami.
Ať už do tohoto programu vstoupil původní provozovatel, nebo až útočníci, výsledek byl pro spotřebitele stejně zničující. Podvodný inzerát parazitoval na prémiovém statusu, který u zákazníků přirozeně evokuje pocit vyšší bezpečnosti a kvality. Platforma tak výměnou za vyšší provizní poplatky aktivně pomáhala šířit nabídku, která ve skutečnosti vůbec neexistovala.
Absurdita celého systému vyvrcholila v momentě, kdy výzkumníci podrobili testu nového virtuálního asistenta řízeného umělou inteligencí s názvem Dot. Na přímý dotaz, zda je konkrétní ubytování skutečné, nebo se jedná o podvod, odpověděla AI zcela jednoznačně. Označila inzerát za plně legitimní a své tvrzení podpořila detailním výčtem vybavení včetně vířivky či parkovacích míst. Jako korunu všeho přidala informaci o výborné dostupnosti safari parku Longleat, který ovšem leží více než sto mil daleko od Londýna.
Nástroj, od kterého zákazník vnímaný jako laik očekává kompetentní pomoc a ochranu, pouze nekriticky převzal data z podvodného profilu a s uklidňujícím tónem je předhodil uživateli. Místo aby AI sloužila jako bezpečnostní filtr, stala se dalším článkem řetězce, který rozptyloval oprávněné pochybnosti spotřebitelů.
Falešný premiér a hrozba po odjezdu
Že nejde o ojedinělá selhání, potvrdil i praktický experiment, při kterém výzkumníci na platformě vytvořili fiktivní inzerát nabízející nocleh přímo v sídle britského premiéra na adrese Downing Street 10. Profil opatřený známou fotografií ikonických černých dveří hladce prošel schvalovacím procesem, umožnil provést testovací rezervaci a přijal platbu. Zločinci by tak díky této mezeře v systému mohli bez problémů vybírat peníze za pobyty v objektu, který je pod nepřetržitým dohledem bezpečnostních složek.
Problémy zákazníků navíc nekončí ani ve chvíli, kdy opustí hotelové dveře. Švýcarské Národní centrum kybernetické bezpečnosti vydalo varování před novým typem sofistikovaných útoků. Pachatelé, kteří se nabourali do e-mailových nebo rezervačních systémů hotelů, oslovují bývalé hosty s nabídkou fiktivního vrácení části zaplacené částky.
Díky tomu, že útočníci znají přesná jména, termíny pobytů i částky, je jejich věrohodnost téměř dokonale neprůstřelná. Oběti jsou následně přesměrovány na falešné bankovní stránky, kde pod vidinou získání peněz samy potvrdí přihlašovací údaje nebo autorizační kódy. Podvodníci tak nepotřebují překonávat dvoufázové ověření složitými technickými operacemi, potřebná povolení si nechají dobrovolně schválit přímo od majitelů účtů.
Dvě tváře jedné značky
Situací kolem rezervací se už zabývá i Evropská komise, která zahájila formální řízení. Unijní orgány zkoumají nejen ochranu před klamavými nabídkami, ale i zneužívání osobních dat při phishingu a transparentnost placeného zvýhodňování ve vyhledávání.
Na jedné straně tak stojí korporátní rétorika, ujišťování o konstrukční spolupráci s policií a masivní investice do moderních technologií. Na straně druhé však zůstává reálná zkušenost oklamaného klienta.
Podezření by měla vzbudit především změna původně sjednaných podmínek. Máte platit až na místě, ale ubytovatel náhle požaduje okamžitou platbu? Přichází odkaz na „ověření karty“ s výhrůžkou zrušení rezervace? Nebo vám někdo po návratu nabízí nečekanou vratku? Právě tyto situace popisuje švýcarské Národní centrum kybernetické bezpečnosti. Správné jméno, termín pobytu ani zpráva doručená přes účet ubytovatele její pravost nezaručují. Útočník může mít skutečné rezervační údaje i přístup k hotelovému účtu.
Před rezervací má smysl porovnat adresu s mapou, fotografiemi ulice a oficiálním webem ubytování. Čtěte především nejnovější recenze: starší pochvaly mohou patřit původnímu provozovateli, jehož účet někdo převzal. Opakované stížnosti na neexistující pokoje, změněnou adresu nebo dodatečné platební požadavky mají větší váhu než lákavé fotografie. Ani zvýhodněné umístění nabídky či ujištění konverzačního asistenta nepředstavují potvrzení její pravosti, jak ukázalo šetření organizace Which?.
Nečekaný požadavek na platbu ověřujte jinou cestou, než kterou přišel. Na přiložený odkaz neklikejte; rezervaci otevřete přímo ve své aplikaci a hotelu zavolejte na číslo dohledané nezávisle na podezřelé zprávě. Zkontrolujte, zda požadavek odpovídá platebním podmínkám objednávky. Samotná existence zálohy podvod nedokazuje. Varovná je především snaha změnit dohodnutý postup, odvést vás na neznámou stránku a přimět k rychlému rozhodnutí.
Pokud už jste na podezřelé stránce zadali údaje o kartě, heslo do bankovnictví nebo potvrdili neznámou operaci, kontaktujte okamžitě banku a popište přesně, co jste udělali. Uložte si zprávy, adresu stránky, potvrzení rezervace i doklady o platbách a případ nahlaste Bookingu; při finanční škodě také policii. Jak připomíná říjnové varování švýcarského kyberúřadu, podvodníci mohou pod záminkou vrácení peněz žádat i schválení svého přístupu k účtu. Než cokoli potvrdíte, čtěte proto skutečný obsah bankovní výzvy. Slibovaná refundace a souhlas s přihlášením do bankovnictví jsou dvě zcela odlišné věci.