UE bierze Booking.com pod lupę za scamy

Booking.com pod formalnym dochodzeniem UE

Komisja Europejska wszczęła formalne postępowanie wobec Booking.com, sprawdzając, czy platforma odpowiednio przeciwdziała oszustwom, phishingowi i fałszywym ofertom. Chodzi o możliwe naruszenia unijnego Digital Services Act (DSA), który nakłada na duże platformy obowiązki związane z bezpieczeństwem, przejrzystością i ograniczaniem ryzyk dla użytkowników.

Postępowanie obejmuje kilka obszarów, które w ostatnich latach stały się szczególnie problematyczne w branży turystycznej. To nie tylko próby wyłudzeń kierowane do klientów, ale też fałszywe ogłoszenia, podszywanie się pod obiekty noclegowe i wykorzystywanie danych rezerwacyjnych do dalszych ataków.

Co sprawdzi Komisja Europejska

Śledztwo ma ocenić, czy Booking.com:

• wystarczająco dobrze identyfikuje i ogranicza ryzyko phishingu,
• odpowiednio zabezpiecza sposób udostępniania danych rezerwacyjnych i danych gości obiektom noclegowym,
• ma skuteczne zabezpieczenia przed nadużyciem systemu wiadomości wewnętrznych platformy,
• właściwie reaguje na nielegalne treści, w tym oferty dotyczące nieistniejących lub niezgodnych z prawem obiektów,
• spełnia obowiązki dotyczące transparentności reklam.

W praktyce oznacza to, że Bruksela chce ustalić, czy platforma robi dość, by nie stać się narzędziem dla cyberprzestępców i oszustów.

Dlaczego sprawa jest ważna

Booking.com od lat przyciąga uwagę przestępców. W ostatnich latach opisywano kampanie, w których atakujący:

• przejmowali dane logowania partnerów platformy,
• wysyłali fałszywe wiadomości do klientów,
• podszywali się pod Booking.com w e-mailach,
• wykorzystywali złośliwe załączniki lub linki do infekowania urządzeń malware.

W jednym z głośniejszych scenariuszy przestępcy wykorzystywali skradzione dane dostępowe hoteli, aby kontaktować się z klientami i nakłaniać ich do podania danych płatniczych. W innym ataku podszywano się pod Booking.com w wiadomościach e-mail, próbując skłonić odbiorców do pobrania infostealera. Z kolei w 2026 roku odnotowano kampanię wymierzoną w partnerów noclegowych w Japonii, opartą na fałszywych skargach gości i prośbach o recenzje.

Możliwe konsekwencje

Jeśli Komisja uzna, że Booking.com nie spełnia wymogów DSA, spółce może grozić kara finansowa sięgająca 6% globalnego rocznego obrotu. Bruksela może też nakazać wdrożenie działań naprawczych.

Jednocześnie samo wszczęcie postępowania nie przesądza jeszcze wyniku sprawy. Komisja może przyjąć od Booking.com zobowiązania, które mają usunąć wskazane problemy bez konieczności natychmiastowego orzeczenia kary.

Szerszy problem w branży turystycznej

Sprawa Booking.com pokazuje szerszy kłopot, z którym mierzą się platformy rezerwacyjne. Z jednej strony chodzi o klasyczny phishing i kradzież danych, z drugiej o oszustwa związane z fałszywymi ofertami — od fikcyjnych noclegów po obiekty działające bez wymaganych zezwoleń. Dla użytkownika kończy się to często stratą pieniędzy, a czasem także ujawnieniem danych osobowych.

Unijne postępowanie ma więc nie tylko znaczenie dla jednej firmy. To także sygnał, że platformy pośredniczące w rezerwacjach będą musiały mocniej pilnować bezpieczeństwa użytkowników i przejrzystości swoich mechanizmów działania.