W ciągu pierwszej pół godziny ponad tuzin podróżnych próbowało zarezerwować pokój przy Downing Street 10, a Booking.com zaakceptował nawet fałszywą recenzję 10/10, w której wspomniano o „kocie Larrym”*.
Badacze cyberbezpieczeństwa z powodzeniem wystawili ofertę wynajmu rezydencji premiera Wielkiej Brytanii w serwisie Booking.com. W ciągu zaledwie kilku minut próbowało ją zarezerwować ponad tuzin podróżnych.
Naukowcy z brytyjskiej organizacji non-profit zajmującej się ochroną konsumentów WHICH? chcieli udowodnić, jak łatwo jest publikować fałszywe oferty wynajmu w serwisach takich jak Booking.com i wyłudzać pieniądze od niczego niepodejrzewających podróżnych. Naukowcy zdecydowali się na wykorzystanie powszechnie rozpoznawalnego adresu w Wielkiej Brytanii: 10 Downing Street, znanego jako oficjalna rezydencja i biuro premiera Wielkiej Brytanii.
Fałszywa oferta mogła posłużyć do phishingu
Stworzyli fałszywą ofertę w serwisie Booking.com, wykorzystując adres wraz ze zdjęciami, fałszywym opisem obiektu i linkami do wiadomości, które mogły zostać użyte do wysyłania żądań phishingowych.
„Apartament z jedną sypialnią w samym sercu Londynu” – reklamowany jako całe mieszkanie o powierzchni 215 metrów kwadratowych – został wystawiony przez Which? Travel 19 czerwca.
Reklama „była wyraźnie oznaczona jako '10 Downing Street, Londyn', obok zdjęcia najsłynniejszych drzwi wejściowych w Wielkiej Brytanii. Zaledwie cztery minuty pieszo do Parlamentu” – twierdzą badacze.
Mimo że dla tej oferty wyłączono funkcję automatycznej rezerwacji, w ciągu początkowych 20 minut testów do rzeczników praw konsumentów wysłano co najmniej 14 zapytań za pośrednictwem aplikacji.
Fancy a stay at 10 Downing Street?
— Which? (@WhichUK) September 2, 2026
We listed the Prime Minister’s famous address as a holiday rental and managed to make a test payment, publish a fake 10/10 review and even send an external weblink through @bookingcom messaging system pic.twitter.com/B9AYoOeUVL
Co więcej, Which? podaje, że Booking.com faktycznie przetworzył co najmniej jedną płatność dokonaną przez badaczy za pomocą innego konta w przypadku tygodniowego pobytu – a pieniądze do tej pory nie zostały zwrócone do sierpnia.
Niepokojące jest również to, że 11 sierpnia badacze mogli wystawić fałszywą opinię na temat ich oferty przy Downing Street 10, „oceniając ją na 10/10 – «wyjątkowa»”, chociaż nikt nie dokonał rezerwacji ani nie zatrzymał się w tym obiekcie. Dopiero po opublikowaniu recenzji moderatorzy serwisu Booking.com zgłosili, że sprawdzą fałszywą opinię, mimo że była od razu widoczna pod obiektem.
Recenzja pojawiła się niemal natychmiast, mimo że była oczywistym żartem i zawierała wzmiankę o tym, jak miło było spędzać czas z kotem Larrym.
Jedną z najważniejszych lekcji, jakie wyciągnięto z eksperymentu, była szybkość, z jaką oszuści mogli uzyskać dostęp do numerów kart kredytowych i innych poufnych danych osobowych danej osoby.
Fałszywe ogłoszenie wisiało przez kilka tygodni
Badacze stwierdzili, że mimo iż konto gospodarza Which? zostało utworzone tego samego dnia i zawierało „oczywiście fałszywy” wpis, Booking.com pozwolił im skorzystać z systemu wiadomości platformy, aby wysłać zewnętrzny link z prośbą o podanie danych karty kredytowej w celu potwierdzenia rezerwacji. Warto jeszcze dodać, że oferta została opublikowana 19 czerwca i usunięto ją dopiero 27 sierpnia, chociać badacze kilkukrotnie informowali o tym Booking.
Ogłoszenie zostało ostatecznie usunięte 27 sierpnia, po tym jak Which? kilkakrotnie powiadomił platformę o fałszywym ogłoszeniu, sześć tygodni po jego pierwszym wystawieniu.
Booking.com odpiera zarzuty
Większość platform, w tym Airbnb, automatycznie blokuje wiadomości zawierające podejrzane linki, aby chronić użytkowników przed oszustwami phishingowymi, ale Booking.com, który twierdzi, że również ma taką możliwość, „nie przechwycił linku”.W październiku 2024 roku Which? stworzył również fałszywą ofertę, której usunięcie z serwisu Booking.com zajęło podobno ponad półtora roku.
Booki twierdzi, że dzięki wykorzystaniu narzędzi opartych na sztucznej inteligencji jest w stanie usunąć większość fałszywych ofert w ciągu 24 godzin, a także że stale wzmacnia ochronę przed recenzjami i podejrzanymi linkami w wiadomościach. System najwyraźniej jednak działa dość wybiórczo.
*Kot Larry pełni w Wielkiej Brytanii funkcję Głównego Myszołapa w służbie Sekretariatu Generalnego od 2011 roku i przebywa w rezydencji premiera.
Spodobało Ci się? Podziel się ze znajomymi!
Pokaż / Dodaj komentarze do:
Wystawili rezydencję premiera na Booking. Ludzie naprawdę chcieli tam nocować