ההודעה מגיעה בתוך שרשור ההזמנה, לא במייל מוזר מבחוץ. היא יודעת את שם בית המלון, את תאריכי השהייה ואת מספר ההזמנה, והיא מבקשת לאשר מחדש את פרטי האשראי כדי שההזמנה לא תתבטל. בספטמבר הזהיר מערך הסייבר הלאומי מגל הודעות כאלה בישראל. בשבוע שעבר החליטה הנציבות האירופית לבדוק אם הבעיה מתחילה באתר עצמו.

מה קרה

ב-21 באוקטובר פתחה הנציבות האירופית הליך פורמלי נגד Booking.com לפי חוק השירותים הדיגיטליים (DSA), הרגולציה שמחייבת פלטפורמות גדולות לזהות סיכונים מערכתיים למשתמשים שלהן ולצמצם אותם. שלוש השאלות המרכזיות: אם האתר העריך וצמצם כראוי את סיכון הפישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים) ללקוחותיו, איך הוא משתף פרטי הזמנות ופרטי אורחים עם בתי המלון ואילו מחסומים מונעים שהמידע הזה ישמש לדליית פרטים ולדרישת תשלום מזויפת, ומה מאפשרת מערכת ההודעות הפנימית שלו. לצד אלה ייבדקו גם רשימות מזויפות וסימון של מודעות ממומנות בדירוג החיפוש.

השרשרת שהרגולטורים מסתכלים עליה לא מתחילה אצלכם. התוקפים משתלטים קודם על חשבון של בית מלון שותף, לרוב דרך נוזקה שגונבת את פרטי האימות מהמחשב בקבלה, ומשם נפתחת להם גישה לרשימת האורחים האמיתיים ולערוץ ההודעות הרשמי. ההודעה שמגיעה אליכם נשלחת מהמקום הנכון ומכילה פרטים נכונים, ולכן כל הסימנים שלימדו אותנו לחפש, שגיאות כתיב, כתובת שולח מוזרה, קישור שנראה לא במקום, פשוט לא נמצאים שם. זאת לא התחזות לאתר, זה שימוש בתשתית שלו.

המקרים האלה נצברים כבר שנים. Secureworks תיארה ב-2023 קמפיין שהשתיל נוזקת גניבת מידע במחשבי בתי מלון שותפים כדי להגיע לחשבונות ה-Booking שלהם, מיקרוסופט דיווחה במרץ 2025 על קמפיין שהתחזה לאתר כדי להדביק מכשירים, וביוני האחרון זוהה גל דומה מול בתי מלון ביפן. דובר הנציבות אמר שלפי נתונים של Booking עצמה היקף הפעילות הרמאית בפלטפורמה גדל פי 500 בין 2022 ל-2024. המספר הזה מגיע מהחברה ולא מגורם עצמאי, וכך כדאי לקרוא אותו. החברה הודיעה שתשתף פעולה עם החקירה, ואם בסופה ייקבע שהיו הפרות היא חשופה לקנס של עד 6 אחוזים מהמחזור העולמי השנתי שלה ולדרישה לשנות את אופן הפעולה.

למה זה חשוב לכם

Booking.com הוא אחד הערוצים המרכזיים שבהם ישראלים מזמינים חופשות באירופה, וההודעות האלה מגיעות בעברית. האזהרה של מערך הסייבר הלאומי מספטמבר תיארה בדיוק את התבנית: קישור לעמוד שמתחזה ל-Booking, בקשה לאשר הזמנת מלון, ובחלק מהמקרים פרטי הזמנה אמיתיים שמגבירים את האמינות (כיסינו אותה כאן). מה שהחקירה האירופית מוסיפה הוא השאלה למה הפרטים האמיתיים זמינים לתוקפים מראש.

מה עושים?

אל תזינו פרטי אשראי דרך קישור בהודעה, גם אם היא הגיעה בתוך שרשור ההזמנה ויודעת את תאריכי השהייה. סגרו אותה, פתחו את האפליקציה או את האתר ישירות, ובדקו את ההזמנה משם.

בית מלון אמיתי לא מבקש "לאמת מחדש" כרטיס כדי שההזמנה לא תתבטל. אם קיבלתם בקשה כזאת, התקשרו לבית המלון למספר שמופיע באתר שלו ושאלו.

אם כבר הזנתם פרטים, פנו מיד לחברת האשראי לחסימת הכרטיס, ודווחו גם לפלטפורמה וגם למוקד 119 של מערך הסייבר הלאומי.

הודעה שיודעת את תאריכי השהייה שלכם לא הוכיחה שהיא מבית המלון. היא הוכיחה שלמישהו יש גישה למערכת שיודעת אותם.