Booking.com-Betrug: Kriminelle nutzen echte Buchungsdaten für Phishing

Das IT-Magazin c't warnt aktuell vor einer neuen Welle von Cyberkriminalität, die Reisende gezielt kurz vor ihrem Urlaubsantritt ins Visier nimmt. Dabei verschaffen sich Angreifer unbefugten Zugriff auf die Extranet-Konten von Unterkunftspartnern des Portals Booking.com, um an sensible Kundendaten zu gelangen.

Gezielte Manipulation kurz vor Reisebeginn

Nach vorliegenden Berichten nutzen die Kriminellen für ihre Betrugsversuche echte Buchungsinformationen wie Namen, Reisedaten und Telefonnummern der Kunden. Mit diesen präzisen Details kontaktieren sie die Urlauber unmittelbar vor dem geplanten Reiseantritt per WhatsApp oder E-Mail. In den Nachrichten werden die Opfer dazu aufgefordert, über einen mitgeschickten Link eine zusätzliche Zahlung vorzunehmen oder ihre Daten zu verifizieren.

Dieser Link führt jedoch auf gefälschte Webseiten, die darauf ausgelegt sind, Kreditkartendaten abzugreifen. Da die Nachrichten korrekte Angaben zur bevorstehenden Reise enthalten, wirken sie auf viele Nutzer täuschend echt.

Rekordschäden durch Phishing zeigen, wie perfide Hacker heute psychologische Tricks und echte Daten nutzen, um uns in die Falle zu locken. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, wie Sie solche Angriffe sofort entlarven und sich wirksam schützen. In 4 Schritten zur erfolgreichen Hacker-Abwehr

Sicherheitslücken bei Partnerbetrieben

Predrag Vuckovic aus der IT-Sicherheit von Booking.com bestätigte das Bestehen einer Schwachstelle im Extranet-Bereich. Er wies darauf hin, dass herkömmliche Sicherheitsmaßnahmen wie eine Zwei-Faktor-Authentifizierung in diesem speziellen Szenario nur bedingt Schutz bieten könnten. Ein Sprecher des Unternehmens stellte zudem klar, dass die eigentliche Sicherheitsverletzung nicht in den internen Systemen von Booking.com selbst liege. Stattdessen seien Konten einzelner Unterkunftspartner betroffen. Diese kompromittierten Konten wurden nach Bekanntwerden der Vorfälle gesperrt.

Markus Montz, Redakteur bei c't, erklärte in diesem Zusammenhang, dass es für solche Angriffe eine Vielzahl von Angriffsflächen gebe. Bereits im April 2026 wurde eine deutliche Häufung entsprechender Fälle beobachtet, was auf eine koordinierte Vorgehensweise der Täterschaft hindeutet.

Historisches Ausmaß und Prävention

Die Problematik ist international bekannt und nicht auf den aktuellen Zeitraum begrenzt. Bereits im Jahr 2023 wurden beispielsweise in Singapur mindestens fünf Anzeigen in einem ähnlichen Kontext erstattet. Seit Anfang jenes Jahres beläuft sich der dort durch Phishing-Betrug im Zusammenhang mit Booking.com-Reservierungen entstandene finanzielle Schaden auf mindestens 8.800 $.

Ob im Urlaub oder im Alltag – Cyberkriminelle nutzen gezielt psychologische Schwachstellen aus, um an Ihre vertraulichen Informationen zu gelangen. Dieser kostenlose Gratis-Report enthüllt die aktuellsten Methoden der Betrüger und zeigt Ihnen, wie Sie Manipulationen rechtzeitig erkennen. Gratis-Report: Psychologische Taktiken der Hacker entlarven

Um sich vor finanziellen Verlusten zu schützen, raten Experten zu erhöhter Wachsamkeit. Reisende sollten grundsätzlich nicht auf Links in Messenger-Nachrichten oder E-Mails klicken, auch wenn diese korrekte Buchungsdetails enthalten. Stattdessen wird empfohlen, den Status einer Buchung ausschließlich über die offizielle App oder die gesicherte Website des Portals zu prüfen.

Verdächtige Nachrichten sollten umgehend dem Plattformbetreiber gemeldet werden. Falls bereits ein verdächtiger Link angeklickt und Daten eingegeben wurden, sollten Betroffene umgehend ihre Kreditkarte sperren lassen und Anzeige bei den zuständigen Behörden erstatten.