Goljufi lahko poznajo vaše ime, datum prihoda in celo znesek hotelske rezervacije. S temi podatki pošiljajo prepričljiva lažna sporočila, s katerimi poskušajo pridobiti podatke bančnih kartic. Varnostni incidenti so prizadeli tudi slovenske ponudnike nastanitev, Evropska komisija pa je sprožila preiskavo platforme Booking.com.
Goljufi lahko podatke o hotelskih rezervacijah zlorabijo za lažne zahteve po plačilu. (foto: Vitaly Gariev / Unsplash)
Goljufi z resničnimi podatki o rezervacijah ustvarjajo prepričljive plačilne pasti.
Predstavljajte si, da nekaj dni pred odhodom na dopust prejmete sporočilo hotela, v katerem ste rezervirali sobo. Navedeni so vaše ime, datum prihoda in pravilen znesek rezervacije. Toda sporočilo vsebuje opozorilo: plačilo naj ne bi bilo uspešno, zato morate nemudoma potrditi bančno kartico, sicer bo rezervacija odpovedana. Vse je videti pristno, od podatkov do pojasnila o domnevni napaki. Prav v tem je nevarnost, saj sporočila morda sploh ni poslal hotel, temveč goljuf, ki je pridobil dostop do podatkov o dejanski rezervaciji.
Slovenski nacionalni odzivni center za kibernetsko varnost SI-CERT je v letu 2026 opozoril na več primerov odtekanja in zlorab rezervacijskih podatkov. Med njimi so incidenti pri ponudnikih programske opreme, ki jo uporabljajo turistične nastanitve v Sloveniji, pa tudi zlorabe, povezane s platformo Booking.com. Skupna značilnost napadov je uporaba resničnih informacij o gostih, s katerimi storilci ustvarjajo prepričljiva lažna plačilna obvestila.
Vdor v rezervacijske sisteme prizadel tudi goste v Sloveniji
Junija 2026 je SI-CERT prejel več prijav slovenskih ponudnikov nastanitev zaradi varnostnega incidenta pri hrvaškem podjetju PHOBS. Njegove rezervacijske storitve uporabljajo številni turistični ponudniki v regiji, tudi v Sloveniji. Med prizadetimi so bili zato tako slovenski gostje kot tuji obiskovalci slovenskih nastanitev. Po informacijah, objavljenih ob incidentu, so bili izpostavljeni predvsem osebni in kontaktni podatki ter informacije o rezervacijah. SI-CERT takrat ni imel podatkov, da bi napadalci pridobili tudi številke plačilnih kartic ali druge finančne informacije.
Podoben primer se je pojavil septembra pri sistemu Bentral, ki ga upravlja slovensko podjetje INTERSPLET. Ponudnik je 17. septembra poročal o varnostnem incidentu, pri katerem so napadalci pri nekaterih rezervacijah verjetno pridobili imena gostov, telefonske številke in zneske rezervacij. Podatke so nato uporabili za pošiljanje lažnih sporočil prek aplikacije WhatsApp. Prejemnik je tako lahko dobil zahtevo za dodatno plačilo, ki se je nanašala na njegovo resnično nastanitev.
SI-CERT v svojem opozorilu omenja tudi večjo zlorabo podatkov uporabnikov Booking.com iz aprila 2026. Po njegovih navedbah so bili med pridobljenimi informacijami imena, elektronski naslovi, telefonske številke ter podatki o sedanjih in preteklih rezervacijah. To je pomembna razlika v primerjavi z naključnimi prevarantskimi sporočili, saj napadalec lahko pozna podrobnosti, ki jih gost povezuje izključno z zaupanja vrednim rezervacijskim sistemom. Vsi navedeni dogodki niso bili posledica istega vdora in jih ni mogoče pripisati enemu ponudniku. Kažejo pa, kako lahko varnostna pomanjkljivost v katerem koli delu rezervacijskega postopka prizadene končnega uporabnika. Podatki o gostu lahko potujejo med rezervacijsko platformo, nastanitvijo in zunanjim ponudnikom programske opreme. Če jih pridobijo nepooblaščene osebe, jih lahko uporabijo za nadaljnje goljufije.
Pravilni podatki, lažno sporočilo: Kako goljufi zahtevajo novo plačilo
Napadalci najpogosteje izkoristijo trenutek, ko gost pričakuje informacije o prihodu ali plačilu. V sporočilu navedejo, da je bila kartica zavrnjena, da je treba potrditi rezervacijo ali da mora uporabnik zaradi varnostnega preverjanja ponovno vnesti plačilne podatke. Priložena povezava vodi na spletno stran, ki posnema znan rezervacijski portal, včasih pa vsebuje celo podatke o dejanski rezervaciji. Namen ni urediti bivanja, temveč pridobiti številko kartice, datum veljavnosti in druge podatke, ki jih lahko storilci zlorabijo.
Pri takšnem spletnem ribarjenju oziroma phishingu je odločilna kombinacija verodostojnih informacij in časovnega pritiska. Nekdo, ki ima že plačane letalske vozovnice in načrtovan dopust, se lahko ob opozorilu o odpovedi hotela odzove hitreje, kot bi se sicer. Goljufi to izkoriščajo z zahtevami po takojšnjem ukrepanju, čeprav gost pred prejemom sporočila ni imel nobenega razloga za dvom o rezervaciji. Sporočilo lahko prispe prek WhatsAppa, SMS-a, elektronske pošte ali drugega komunikacijskega kanala, vendar neposreden stik nastanitve z gostom sam po sebi ni sumljiv. Hoteli in apartmaji lahko na tak način posredujejo navodila za prihod, podatke o prevzemu ključev ali informacije o turistični taksi. Opozorilni znak je predvsem nepričakovana sprememba plačilnih navodil, še posebej kadar pošiljatelj zahteva obisk neznane spletne strani in grozi s takojšnjo odpovedjo bivanja.
Zakaj je Booking.com pod drobnogledom Evropske komisije?
Evropska komisija je 21. oktobra 2026 začela formalni postopek za ugotavljanje, ali Booking.com izpolnjuje obveznosti iz evropskega akta o digitalnih storitvah (DSA). Preiskava zajema tri področja: goljufive in neskladne oglase nastanitev, spletno ribarjenje z uporabo rezervacijskih podatkov ter preglednost plačljivih uvrstitev ponudnikov v rezultatih iskanja. Za goste je posebej pomemben del postopka, ki se nanaša na uporabo podatkov o rezervacijah. Evropska komisija preverja, ali je Booking.com ustrezno ocenil tveganja, povezana z izmenjavo podatkov med platformo in ponudniki nastanitev, ter ali ima dovolj učinkovite varovalke pred njihovo zlorabo. Preučuje tudi zasnovo in delovanje sistema za sporočanje, prek katerega poteka komunikacija z gosti.
Drugi del preiskave se nanaša na lažne ali neskladne ponudbe nastanitev, tretji pa na oglase, ki so zaradi višje provizije uvrščeni bolj vidno. Komisija želi ugotoviti, ali uporabniki dovolj jasno prepoznajo plačljivo promocijo in razumejo, zakaj se določena ponudba pojavi na izpostavljenem mestu. Začetek formalnega postopka ne pomeni, da je bila kršitev že ugotovljena. Komisija mora najprej zbrati in oceniti dokaze, Booking.com pa ima možnost sodelovati v postopku in odgovoriti na očitke. Prav tako evropske preiskave ni mogoče samodejno povezovati z incidentoma pri sistemih PHOBS in Bentral. Gre za ločene dogodke, ki pa opozarjajo na širše vprašanje odgovornosti pri varovanju rezervacijskih podatkov.
Zahteva za novo plačilo: Kako prepoznati poskus prevare?
Najbolj zanesljiv način preverjanja nepričakovanega sporočila je neposreden stik s ponudnikom nastanitve. Če gost prejme poziv k ponovnemu vnosu kartice, naj ne odpira povezave iz sporočila, temveč sam zažene uradno aplikacijo ali v brskalnik vnese naslov rezervacijskega portala. Tam lahko preveri stanje rezervacije, pogoje plačila in morebitna uradna obvestila. Če zahteva še vedno ni jasna, naj nastanitev pokliče na številko, pridobljeno iz preverjenega vira.
Posebna previdnost je potrebna pri sporočilih, ki zahtevajo takojšnje nakazilo, dodatno varščino ali ponovno plačilo že poravnane storitve. Pravilno ime hotela in točen datum prihoda nista dokaz pristnosti, saj storilci lahko uporabijo resnične podatke, da prikrijejo lažno zahtevo. Razumevanje načinov, s katerimi delujejo spletne prevare pri rezervacijah nastanitev, je zato pomembno tudi za izkušene uporabnike spletnih storitev. Nevarne so lahko tudi strani, ki imajo enak logotip, podobno oblikovanje in navidezno pravilen obrazec za plačilo kot uradni portal. Tudi oznaka HTTPS oziroma simbol ključavnice v brskalniku ne zagotavljata, da je spletna stran pristna, temveč predvsem, da je povezava šifrirana. Odločilna sta dejanski spletni naslov in preverjena upravičenost zahtevanega plačila.
Kdaj je dodatno plačilo upravičeno in kaj svetuje Booking.com?
V svojih varnostnih priporočilih Booking.com opozarja na lažna sporočila, ponovne zahteve za plačilo in spletne strani, ki se izdajajo za legitimne ponudnike. Uporabnikom svetuje, naj sumljiva obvestila preverijo prek uradne aplikacije ali spletne strani, naj bodo pozorni na zahteve za plačila zunaj običajnega postopka in naj svoje račune dodatno zaščitijo z dvostopenjskim preverjanjem identitete. Toda vsi dodatni stroški niso goljufija. Nekatere nastanitve lahko posebej zaračunajo turistično takso, varščino ali storitve, ki niso vključene v osnovno ceno. Takšno plačilo je lahko povsem legitimno, če je skladno s pogoji rezervacije in ga potrdi dejanski ponudnik. Gost mora zato razlikovati med vnaprej dogovorjeno obveznostjo in novo, nepojasnjeno zahtevo, ki jo prejme tik pred prihodom.
Nekateri hoteli uporabljajo tudi zunanje ponudnike plačilnih storitev, zato sama uporaba drugega plačilnega sistema še ne dokazuje prevare. Če pa gost prejme nepredvideno povezavo za plačilo, naj pred vnosom finančnih podatkov preveri, kdo je prejemnik denarja, za katero storitev plačuje in ali zahteva ustreza potrjenim pogojem rezervacije. Bistveno je, da ima uporabnik možnost pristnost plačila preveriti neodvisno od sporočila, ki ga je prejel.
Ste že vnesli podatke kartice? Odločilno je hitro ukrepanje
Če je uporabnik podatke bančne kartice že vnesel na sumljivi spletni strani, naj nemudoma kontaktira banko. Pojasniti mora, katere podatke je razkril in ali je morebitno transakcijo tudi potrdil. Banka lahko glede na okoliščine svetuje blokado kartice, preveri opravljena plačila in pojasni možnosti reklamacije. Ni priporočljivo čakati na prvo nepooblaščeno transakcijo, saj lahko storilci pridobljene podatke poskušajo uporabiti hitro.
Če je denar že izginil z računa, naj oškodovanec poleg banke obvesti policijo. Pri obravnavi so lahko koristni shranjena sporočila, telefonske številke pošiljateljev, spletni naslovi, posnetki zaslona in potrdila o plačilu. Sumljivo sporočilo, povezano z rezervacijo nastanitve, je mogoče posredovati tudi SI-CERT na naslov cert@cert.si. Če je uporabnik na lažni strani razkril še geslo rezervacijskega računa, naj ga spremeni, vključi dvostopenjsko preverjanje in zamenja enako geslo tudi pri drugih storitvah, kjer ga uporablja. Vračilo izgubljenega denarja ni samodejno zagotovljeno, saj je odvisno od vrste transakcije, okoliščin zlorabe in pravil plačilnega ponudnika. Prav zato je hitra prijava pomembna tudi takrat, ko uporabnik še ni opazil finančne škode.
Resnični podatki o rezervaciji niso več zanesljiv dokaz, da sporočilo prihaja od hotela ali rezervacijskega portala. Nepričakovano zahtevo za plačilo je zato treba preveriti pri dejanskem ponudniku, preden uporabnik razkrije podatke svoje bančne kartice.