Fałszywe strony podszywają się pod Airbnb i Booking. Tak tracą tysiące turystów

Sezon urlopowy to czas, kiedy szczególnie często padają ofiary cyberprzestępców. Oszuści tworzą strony udające znane serwisy rezerwacyjne – Airbnb, Booking.com czy Expedia – i wyłudzają od turystów wszystkie oszczędności na wyjazd. Ich metoda jest prosta: stworzyć stronę łudząco podobną do oryginału, a następnie przekierować ofiarę poza bezpieczny system płatności platformy. Ofiary często orientują się o oszustwie dopiero na lotnisku lub po zauważeniu nieautoryzowanych obciążeń na karcie.

W szczycie sezonu urlopowego w sieci mnożą się fikcyjne strony udające znane serwisy rezerwacyjne.

Stawką są często wszystkie oszczędności na wyjazd.

Przestępcy kopiują wygląd popularnych platform, jak Airbnb, Booking.com czy Expedia, a następnie wyłudzają pieniądze przelewem lub danymi kart. Coraz częściej ofiarą padają osoby, które od lat rezerwują noclegi online i uważają się za doświadczonych użytkowników.

Jak działają oszuści podszywający się pod Airbnb, Booking i Expedia

Ataki opierają się na jednym schemacie: stworzyć stronę lub komunikat, który wygląda na pierwszy rzut oka zupełnie jak oryginał, a potem poprowadzić ofiarę poza bezpieczny system płatności.

Opisany przez BBC przypadek brytyjskiej pary dobrze pokazuje skalę problemu. Para była przekonana, że kupuje wycieczkę do Indii przez Expedia. Zapłacili ok. 2 500 funtów, czyli blisko 2 900 euro. Swoją pomyłkę odkryli dopiero na lotnisku, kiedy okazało się, że w oficjalnym systemie nie ma żadnej rezerwacji.

Oszuści stworzyli stronę niemal identyczną z widokiem Expedia, a następnie wyciągnęli z klientów pieniądze przelewem, omijając system płatności platformy.

W praktyce wyglądało to tak: po wybraniu oferty ofiary zostały przekierowane do rozmowy przez WhatsApp z kontem o nazwie sugerującej związek z platformą. Konsultant poprosił o przelew bankowy, tłumacząc to „korzystniejszym kursem” lub „szybszą rezerwacją”. Pieniądze zniknęły, a wyprawa okazała się jedynie wirtualna.

Statystyki są niepokojące: tysiące ofiar, średnia strata kilka tysięcy euro

Z badania przeprowadzonego dla Airbnb wynika, że prawie połowa ankietowanych mieszkańców Francji padła ofiarą podobnej sztuczki lub zna kogoś, komu się to przydarzyło. Średnio każda poszkodowana osoba traciła około 2 700 euro.

Sama platforma przyznaje, że w ciągu jednego roku musiała doprowadzić do usunięcia ponad 2,5 tys. fałszywych stron zgłoszonych przez użytkowników. To pokazuje, że skala zjawiska rośnie, a oszuści traktują podróżnych jak łatwy cel – szczególnie przed wakacjami, długimi weekendami czy dużymi imprezami sportowymi.

Nie tylko Airbnb. Ataki uderzają także w Booking.com i przewoźników kolejowych

Pod ostrzałem cyberprzestępców znalazł się też Booking.com. Organizacje konsumenckie odnotowały gwałtowny wzrost prób wyłudzeń właśnie przez tę platformę, zwłaszcza w okresie igrzysk w Paryżu. W niektórych raportach mówi się o skoku rzędu kilkuset procent rok do roku.

Scenariusz bywa podobny:

• użytkownik otrzymuje e-mail wyglądający jak oficjalna wiadomość od Booking.com,
• nadawca używa adresu bardzo zbliżonego do prawdziwego,
• w treści pojawia się informacja o „konieczności potwierdzenia płatności” lub „ryzyku anulowania rezerwacji”,
• link prowadzi na fałszywą stronę, gdzie ofiara przepisuje dane karty lub logowania.

Podobne metody stosowane są wobec klientów francuskiego przewoźnika kolejowego. W obiegu pojawiają się choćby oferty kart zniżkowych w mocno obniżonej cenie. Strona wygląda profesjonalnie, ale po opłaceniu biletu czy karty okazuje się, że kupujący nie nabył niczego, a jego dane wpadły w ręce przestępców.

Najczęstsze pułapki stosowane przez fałszywe strony

Jak rozpoznać fałszywą stronę rezerwacyjną

Wiele ataków da się zatrzymać na samym początku, jeśli użytkownik zwróci uwagę na kilka detali. Oficjalne platformy wprost przypominają, że wszystkie legalne transakcje muszą przechodzić przez ich stronę lub aplikację, nigdy przez prywatny przelew czy link z wiadomości.

Jeżeli ktoś prosi o zapłatę za pobyt przelewem poza systemem Airbnb, Booking.com czy Expedia, traktuj to jak czerwone światło.

Kluczowe kroki bezpieczeństwa podczas rezerwacji:

• zawsze wpisuj adres platformy ręcznie w przeglądarce, a nie klikaj w link z maila lub reklamy,
• sprawdzaj dokładnie domenę – pojedyncza literówka może oznaczać podszywanie się pod markę,
• zwracaj uwagę na kłódkę przy adresie i certyfikat HTTPS,
• czytaj opinie o obiekcie, sprawdzaj liczbę recenzji i ich treść,
• unikać ofert, które są zbyt tanie jak na lokalizację i standard.

Odwrócone wyszukiwanie obrazu – proste narzędzie dla każdego

Jedną z praktycznych metod weryfikowania ofert jest tzw. wyszukiwanie obrazem. Za pomocą narzędzi typu Google Lens czy podobnych funkcji w przeglądarce można sprawdzić, gdzie jeszcze w sieci pojawiają się zdjęcia konkretnego mieszkania czy pokoju.

Jeżeli te same fotografie widnieją jednocześnie na kilku stronach z różnymi opisami, adresami czy danymi właścicieli, mamy mocny sygnał ostrzegawczy. Często oszuści kradną zdjęcia prawdziwych obiektów, a następnie tworzą na ich podstawie fikcyjne ogłoszenia.

Co zrobić, gdy pieniądze już wyszły z konta

Wiele osób orientuje się, że padło ofiarą oszustwa dopiero wtedy, gdy dociera na miejsce i ustala, że rezerwacja nie istnieje. Inni zauważają nieautoryzowane obciążenia na karcie kilka dni po podaniu danych na podejrzanej stronie.

W takim momencie liczy się czas:

Instytucje finansowe nie zawsze są w stanie cofnąć przelew lub zwrócić środki. W wielu przypadkach ofiara sama zatwierdziła transakcję, więc bank traktuje ją jako świadomą operację. Mimo to warto próbować, bo czasem udaje się zablokować pieniądze, zanim trafią na konto pośredników.

Jak podróżować bezpieczniej: praktyczne wskazówki dla polskich użytkowników

Polscy turyści korzystają z tych samych serwisów i stają przed identycznymi zagrożeniami jak podróżni z innych krajów. Warto wyrobić sobie kilka nawyków, które realnie zmniejszają ryzyko:

• rezerwuj przez oficjalną aplikację mobilną, pobraną z zaufanego sklepu,
• aktywuj weryfikację dwuetapową na swoim koncie,
• ustaw limity na karcie używanej do płatności internetowych,
• dla drogich rezerwacji rozważ oddzielną kartę lub wirtualną kartę jednorazową,
• zachowuj korespondencję z właścicielem obiektu wyłącznie w ramach systemu wiadomości danej platformy.

Warto też pamiętać, że prawdziwe serwisy nie szantażują użytkowników wizją natychmiastowego anulowania rezerwacji, jeżeli ten nie kliknie w link w ciągu kilku minut. Gdy w wiadomości pojawia się silna presja czasu, to zwykle znak, że ktoś próbuje przejąć nasze dane.

Dlaczego te ataki działają nawet na doświadczonych podróżnych

Cyberprzestępcy świetnie wykorzystują emocje. Sezon urlopowy sprzyja pośpiechowi: pojawia się wymarzona oferta, ostatnie wolne miejsca, presja rodziny, ograniczony budżet. W takim momencie łatwo przestać analizować szczegóły i po prostu „kliknąć, zanim zniknie”.

Do tego dochodzi zaufanie do znanych marek. Widok logo Airbnb, Booking.com czy Expedia uspokaja naszą czujność. Mózg zakłada, że skoro serwis jest rozpoznawalny, to kontakt jest bezpieczny. Oszuści dokładnie na tym budują swoje kampanie.

Rośnie więc znaczenie cyfrowej higieny: tak jak pilnujemy paszportu i portfela na lotnisku, tak samo musimy chronić loginy i dane kart w sieci. Z jednej strony platformy usprawniają zabezpieczenia i zwalczają fałszywe strony, z drugiej – przestępcy stale udoskonalają swoje metody. Świadomy użytkownik staje się ostatnią linią obrony przed utratą wakacyjnych oszczędności.