Zagraniczne media, m.in. „The Guardian”, zaczęły informować, iż doszło do ataku hakerskiego na Booking.com, w wyniku czego wyciekły dane części użytkowników, a platforma wysyła poszkodowanym maile w tej sprawie. Jak przekazało biuro prasowe Booking.com, w wyniku incydentu cyberbezpieczeństwa z platformy wyciekły wyłącznie dane rezerwacji i dane kontaktowe użytkowników, takie jak adres e-mail i/lub numer telefonu. Cyberprzestępcy nie uzyskali natomiast dostępu do danych finansowych o kartach płatniczych i kartach kredytowych, ani do adresów zamieszkania klientów.

„Chociaż nieautoryzowany dostęp został szybko powstrzymany, wciąż oceniamy jego skutki. Jak dotąd ustaliliśmy, że większość informacji, które wyciekły, dotyczy wcześniejszych rezerwacji. Ponieważ nasi klienci pozostają naszym najwyższym priorytetem, niezwłocznie ich powiadomiliśmy. Ponadto współpracujemy z organami ścigania oraz organami ochrony danych, przekazując im informacje, których potrzebują do dalszego dochodzenia” - poinformowało biuro prasowe Booking.com. Nie odpowiedziało natomiast na pytania dotyczące daty wycieku, jego przyczyn ani skali.

Zespół CERT Polska przekazał natomiast, że nie otrzymał zgłoszeń dotyczących incydentu w Booking.com, ale „analiza dostępnych publicznie materiałów wskazuje, że dotyczy on także części polskich użytkowników”. Zespół podkreślił, że wizerunek firm zajmujących się rezerwacjami, w tym w szczególności Booking.com, jest bardzo często wykorzystywany w scenariuszach phishingowych, co oznacza, że cyberprzestępcy podszywają się pod takie platformy i próbują wyłudzić dane lub pieniądze. „Takie kampanie mają najczęściej charakter masowy i nie wiążemy ich jednoznacznie z wymienionym incydentem. Sytuacja w cyberprzestrzeni jest jednak dynamiczna i może zdarzyć się tak, że informacje pozyskane z wycieku posłużą oszustom do kolejnych działań” – zaznaczył CERT Polska.

Jak podał „The Guardian”, to nie pierwszy tego typu incydent w Booking.com. W 2018 r. cyberprzestępcy skradli dane logowania pracownika platformy ze Zjednoczonych Emiratów Arabskich, a następnie zyskali dostęp do danych ponad 4 tys. użytkowników. Wówczas platforma zgłosiła wyciek do holenderskiego urzędu ochrony danych 22 dni po fakcie, w związku z czym otrzymała karę w wysokości 475 tys. euro.