کمیسیون اروپا تحقیقات رسمی را علیه پلتفرم Booking.com برای بررسی نقص‌های امنیتی احتمالی که منجر به ایجاد آگهی‌های جعلی و حملات فیشینگ (Phishing) شده است، آغاز کرد.
بررسی انطباق با قانون خدمات دیجیتال (DSA)
این تحقیقات به دنبال تعیین این موضوع است که آیا این آژانس مسافرتی آنلاین، مفاد امنیتی و شفافیت موجود در قانون خدمات دیجیتال اتحادیه اروپا (Digital Services Act یا DSA) را نقض کرده است یا خیر.
در محورهای اصلی این بررسی، کمیسیون ارزیابی خواهد کرد که آیا Booking.com به طور دقیق ریسک‌های فیشینگ برای مشتریان را شناسایی و کاهش داده است یا خیر. این موضوع شامل موارد زیر است:
- بررسی نحوه اشتراک‌گذاری داده‌های رزرو و اطلاعات مهمانان با تامین‌کنندگان اقامتگاه‌ها.
- ارزیابی تدابیر حفاظتی برای جلوگیری از سوءاستفاده از این داده‌ها جهت اجرای حملات فیشینگ و درخواست پرداخت‌های جعلی.
- تحلیل طراحی و عملکرد سرویس پیام‌رسانی Booking.com و پتانسیل سوءاستفاده از آن توسط عامل‌های تهدید (Threat Actors).
جریمه‌های احتمالی و ریسک‌های سیستماتیک
علاوه بر موارد فوق، این بررسی متمرکز بر این است که آیا این شرکت ریسک‌های سیستماتیک مرتبط با انتشار محتوای غیرقانونی، مانند کلاهبرداری‌های جعل هویت (Impersonation Fraud) و اقامتگاه‌های غیرمجاز را به درستی مدیریت کرده است یا خیر.
در صورتی که مشخص شود این شرکت در رعایت استانداردهای DSA کوتاهی کرده است، ممکن است با جریمه‌ای تا سقف 6 درصد از گردش سالانه جهانی خود مواجه شود و ملزم به اجرای اقدامات اصلاحی گردد.
قانون DSA که از نوامبر ۲۰۲۲ اجرایی شده است، بر پلتفرم‌های آنلاین بسیار بزرگ (VLOPs) و موتورهای جستجوی بسیار بزرگ (VLOSEs) اعمال می‌شود.
تاریخچه حملات علیه کاربران Booking.com
تحقیقات امنیتی در سال‌های اخیر نشان داده است که مشتریان و شرکای این پلتفرم هدف حملات متعددی بوده‌اند:
- سال ۲۰۲۳: گزارش‌ها حاکی از آن بود که مجرمان سایبری از بدافزار Vidar Infostealer برای دسترسی به اعتبارنامه‌های (Credentials) هتل‌های همکار استفاده کرده‌اند تا ایمیل‌های فیشینگ ارسال کرده و اطلاعات پرداخت مشتریان را سرقت کنند.
- سال ۲۰۲۵: مایکروسافت گزارشی از کمپین ClickFix منتشر کرد که با جعل هویت Booking.com، کاربران را به دانلود بدافزارهای سرقت اطلاعات (Infostealer) ترغیب می‌کرد.
- سال ۲۰۲۶: تیم TrendAI Research یک کمپین فیشینگ را شناسایی کرد که اقامتگاه‌های همکار در ژاپن را هدف قرار داده بود و با جعل شکایات مهمانان، کارکنان هتل‌ها را به اجرای فایل‌های مخرب ترغیب می‌کرد.
