Booking.com gehacked ?

[Ptoeneigh]

Wat hier zeer waarschijnlijk is gebeurd is dat scammers de hotel account bij booking.com hebben misbruikt, dus door een gelekt password, phishing, slordig personeel etc.

De meeste hotels zullen ook accounts hebben op andere platforms zoals trivago etc, hiervoor kun je dan een CRM systeem gebruiken voor “property management” waarin al deze accounts gelinkt zijn zodat de beschikbaarheid en prijzen ergens centraal beschikbaar staan en je deze niet op 8 verschillende booking platforms moet aanpassen.
Bij zo’n externe partner kan het eventueel ook zijn misgegaan.

Maar het lijkt mij zeer waarschijnlijk, aangezien het meestal kleine hotels zijn, niet van een keten, dat het om slordigheid gaat qua IT beleid en veilheid. Makkelijk te raden wachtwoorden en phishing.. zoals particulieren er in trappen gebeurt het bij die hoteleigenaren ook.. en dan kunnen die scammers natuurlijk de boekingen zien, contactgegevens.. en in naam van het hotel berichten versturen vanuit het Booking platform.

In die zin is booking.com niet gehackt maar werden enkele accounts op hun platform misbruikt door scammers.

Nogmaals: goed dat je dit hier hebt gemeld en blijft melden, het zal vele mensen ellende besparen.

[on4bam]

Het is dan wel heel toevallig dat 1 user op beide boekingen hetzelfde meemaakt. Hoe groot is de kans dat je twee hotels boekt voor verschillende periodes op verschillende continenten en dezelfde soort scam ervaart?

[Djohnnie]

Ik wil even meegeven dat wij vorige week ook het slachtoffer zijn geworden van frauduleuze transacties op onze kredietkaart die we enkel gebruiken voor het boeken van hotels op booking.com.

Al meer dan 15 jaar gebruiken we meerdere kredietkaarten, en nog nooit hebben we problemen gehad met fraude. De afgelopen maanden hebben we meerdere hotels geboekt voor onze Europese reis binnenkort. Dit doen we altijd met één specifieke kaart en de andere kaarten gebruiken we voor auto huren en betalingen ter plaatse.

Vorige week zijn er tientallen betalingen gebeurd in Israël met de kaart die nog steeds in ons bezit is en we hebben ze dus meteen laten blokkeren toen we dit opgemerkt hebben. Het enige wat met deze kaart is gebeurd is booking.com reservaties. Een van de hotels heeft dus waarschijnlijk ook onze gegevens gelekt.

[Tazmanian79]

Krijgen de hotels wel uw creditcard te zien? Bij de boekingen die ik heb gedaan is de betaling gebeurd via Booking.com, dit staat zo ook op de afschriften.
Dus volgens mij behandeld Booking.com de betalingen en storten ze dit door naar de hotels.

Ik denk dus dat de hotels uw creditcard nooit te zien (zouden mogen) krijgen.
Als iemand dit kan bevestigen lijkt het mij dat het lek echt wel bij booking.com zit en niet bij hotels.

[cadsite]

Ik heb laatst geboekt via booking en diende in het hotel nog te betalen. Ik had de reservatie gedaan met een credit card en had gedacht dat de betaling daarmee rond was. Niet dus.

[Djohnnie]

Kredietkaartgegevens worden gedeeld met hotels via hun Booing.com partnerprofiel.
Dit kan je lezen in de documentatie voor partners: https://partner.booking.com/en-gb/help/ ... rd-details

To charge a credit card for reservations, you need to have access to your guest's credit card details. You can access these details through the extranet or the Pulse app, and charge the credit card directly according to the reservation policy. Credit card details can be accessed up to three times and for a maximum of 10 days after the guest's check-out or cancellation date.

Contact us if you need access to a CVC code. Keep in mind, when you’ve viewed the CVC once, it will no longer be visible. Never take a screenshot of your guest’s credit card details, and never write them down.

[Tazmanian79]

Ik heb laatst geboekt via booking en diende in het hotel nog te betalen. Ik had de reservatie gedaan met een credit card en had gedacht dat de betaling daarmee rond was. Niet dus.

Nee dat is niet altijd het geval. Dat wordt altijd weergegeven bij de reservatie.
Ofwel wordt de creditcard onmiddellijk belast, ofwel op een bepaalde datum, ofwel wordt dit enkel ter garantie gebruikt en kan je ter plaatse betalen.

[Sinna]

Inloggegevens hotels Booking.com gestolen, misbruikt voor phishing van hotelgasten, dus toch...

[on4bam]

Dat bevestigd dus de vermoedens uit deze thread.
Booking is niet gehacked maar de fout ligt bij de hotels. Daarna zijn met de gestolen login gegevens klanten gecontacteerd via het booking message systeem.
Voor klanten zou het dus nog meevallen, voor zover de hackers geen gegevens gestolen hebben die in de accounts van de getroffen hotels te vinden zijn.

[Sinna]

Met multi-factor-authenticatie zou dat toch ondervangen kunnen worden?!? Als er opeens vanuit een ander land ingelogd wordt, dan zouden er toch ook belletjes moeten gaan rinkelen? Ik blijf het maar een vreemde zaak vinden...

[Ptoeneigh]

Inloggegevens hotels Booking.com gestolen, misbruikt voor phishing van hotelgasten, dus toch...

Ik heb het altijd gedacht en hier ook gemeld, eindelijk geven ze het toe.

Hier het artikel & interview: https://www.bnr.nl/nieuws/technologie/1 ... rs-de-dupe

[CCatalyst]

Met multi-factor-authenticatie zou dat toch ondervangen kunnen worden?!? Als er opeens vanuit een ander land ingelogd wordt, dan zouden er toch ook belletjes moeten gaan rinkelen? Ik blijf het maar een vreemde zaak vinden...

Nee hoor. Die malware is echt een plaag. Browserextensies bijvoorbeeld, men kan hotelpersoneel overtuigen om zo'n extensie te installeren die ongemerkt kredietkaartdata of andere gerichte data kan syphoneren naar wie weet waar, en die berichten kan sturen via Booking.com en wat nog. Die extensie heeft geen nood aan uw paswoord of uw 2FA, die kan alles gewoon onversleuteld meelezen in uw browser, en ze zijn bovendien gemakkelijk geinstalleerd (geen adminrechten vereist) en eenmaal geinstalleerd verdwijnt het uit het zicht tenzij je weet waar je moet kijken.

Uiteraard kan je Chrome/Firefox zodanig provisioneren dat je geen extensies kan installeren, maar wie doet dat in zo'n B&B hotel waar geen IT staff te vinden is? Ik denk dat ook hier op Userbase de meerderheid ook niet zomaar kan zeggen hoe je dit moet doen zonder het op te zoeken. Google doet overigens geen enkele oversight inzake die extensies, je kan ze vrij publiceren in die Webstore, enkel als er klachten komen wordt er eens naar gekeken!

Ik heb het altijd gedacht en hier ook gemeld, eindelijk geven ze het toe.

Maar zoals van in het begin gezegd door on4bam, mij en anderen, en zoals bevestigd: de hack lag niet bij Booking.com zelf. Er waren ook nooit signalen die daar op wezen.

[Ptoeneigh]

Ik heb het altijd gedacht en hier ook gemeld, eindelijk geven ze het toe.

Maar zoals van in het begin gezegd door on4bam, mij en anderen, en zoals bevestigd: de hack lag niet bij Booking.com zelf. Er waren ook nooit signalen die daar op wezen.

Goed dat we nu weten hoe het zit. Want er was veel speculatie dat Booking.com of de TS het schuld / gehacked was maar bij deze is dat weerlegd.

@Mods Misschien een idee om de titel van dit topic aan te passen?

Wat hier zeer waarschijnlijk is gebeurd is dat scammers de hotel account bij booking.com hebben misbruikt, dus door een gelekt password, phishing, slordig personeel etc.
(..)
In die zin is booking.com niet gehackt maar werden enkele accounts op hun platform misbruikt door scammers.

[devilkin]

Er zijn ook genoeg manieren om je browser (dankzij malware)te laten werken als een soort proxy. Dus je traffiek gaat gewoon buiten via het juiste ip, met de credentials van wie is ingelogged...

[Sinna]

Wat meer duiding over hoe het (misschien?) in zijn werk ging: Gebruikers van Booking.com slachtoffer van ingenieuze hack: “Systeem is verre van waterdicht”

[CCatalyst]

Wat meer duiding over hoe het (misschien?) in zijn werk ging

Niet echt veel duiding denk ik? Niets dat al niet vermeld was, persoon die geïnterviewd werd kent ook de fijnere details niet (of wil ze niet geven).

Soit, zoals ik zei heb ik familie met een aanbod op Booking.com die ik al geholpen heb. Ik vind wel dat Booking.com niet de beste 2FA procedure had. Eigenlijk was het enkel op basis van cookie/IP adres (of nog eerder locatie). Als een van die twee veranderden dan kreeg je een telefoon met een code die je moest ingeven. Zolang dat hetzelfde bleef was er gaan 2FA.

Echter, het probleem met het hotelwezen, en trouwens ook het transportwezen (luchtvaart) is dat betere beveiliging nieuwe moeilijkheden introduceert nav de aard van de industrie. Stel dat je een deftige 2FA doet op Booking.com, dan in hotels met verschillende receptionisten, moeten ze een dedicated tweede toestel hebben om de codes te genereren. Als dat toestel zonder batterij valt of defect is: geen login meer.

Of met luchtvaart: je kan je PNR openen met gewoon je referentie en je familienaam. Waarom geen betere beveiliging? Omdat het problematisch is. Als je een reisagent hebt ingeschakeld moet die gemakkelijk aan uw PNR kunnen bij IRROPS. Je kan ook geen SMS of verificatielinks per email sturen want mensen op reis hebben vaak geen data.

Booking.com zit in de unieke positie dat ze een boekingplatform zijn die werkt via het web, en niet via een GDS (reservatieplatformen van al decennia oud). Een GDS is niet zo makkelijk te kraken. Maar kleine hotels of B&B's kunnen niet aansluiten op een GDS en zijn dus aangewezen op Booking.com via het web, wat grotere risico's meebrengt. Een eenvoudige oplossing is er niet.

[Dizzy]

Het succes van booking is deels ook gebaseerd op die eenvoud. Het was één van de sites waar je zelfs niet moest inloggen en toch gebruik kon maken van de diensten. Uiteraard heeft dat gemak en eenvoud ook een keerzijde als er malafide spelers zich ermee bemoeien.

Soms krijg je ook rare situaties zo vonden wij een hotel via booking en ter plaatse bleek de prijs hoger dan op booking. Toen we dat zeiden, gaf men het advies om gewoon in de lobby de kamer te boeken via booking.

[on4bam]

Ook in Nieuw-Zeeland hebben ze hetzelfde probleem.

[Katie123]

Hier vandaag zelf een poging tot oplichting via Booking meegemaakt. Je krijgt eerst een legitieme bevestigingsmail. Daarna een tweede met verzoek tot overschrijving, en het moet rap rap gebeuren of ze annuleren uw reservatie. De overschrijving was niet wat er op de bookingsite vermeld stond, noch in de bevestigingsmail. Opletten geblazen.

[dean3009]

https://tweakers.net/nieuws/214886/hack ... mails.html

[Ptoeneigh]

Dit is eigenlijk dezelfde issue als op 2dehands en marktplaats waar accounts gekaapt worden.
Alleen nu dus accounts van hotels op booking.com die een betaallink sturen via de berichten optie.

Ze gaan daar toch beperkingen op moeten zetten en kunnen leren van andere partijen die blijkbaar strengere moderatie / filters toepassen om dit soort misbruik te detecteren.

[CCatalyst]

Al die artikels/meldingen blijven altijd zo vaag. Nuttige details ontbreken, zoals voorbeelden van de berichten die verstuurd worden.

Ik blijf er toch bij dat de hacks eerbij de hotels zelf gebeuren dan bij Booking.com, temeer omdat dat laatste wel al aangetoond is (zie hierboven) terwijl een probleem bij Booking.com zelf nooit hard is aangetoond. Er zitten zodanig veel hotels op, ze hebben lang niet allemaal hun IT security op orde, hun emailadressen zijn gekend, je moet maar malware naar ene sturen die het installeert op de computer die ingelogd is op Booking.com en je kan meteen ongemerkt berichten sturen via Booking.com.

Zoals ik al enkele keren zei, heb familie met een aanbod op Booking.com, en ook daar hebben ze al pogingen gehad om malware te droppen. Meerdere emails, hoe ze exact geschreven waren weet ik niet meer maar het komt er telkens op neer dat iemand zich voordoet met interesse om een verblijf te boeken, en dan in de bijlage zit hun "itinerary" maar dat is dus malware als je het open doet. Duidelijk een campagne gericht op hotels, en veel kans dat die malware berichten kan sturen via Booking.com (als de computer erop ingelogd is). Als ik daar nog eens ben zal ik eens zien of ik zo'n bestand kan analyseren.

En de vraag waarom Booking.com dan hun berichtenplatform niet beter kan beveiligen, het antwoord heb ik al eens proberen uit te leggen: in de reissector is dat niet makkelijk. Je hebt klanten die op reis zijn en dus niet inloggen van hun gebruikelijke IP's/locaties of hun 2FA's niet bij zich hebben. En dan de bedrijven die aangesloten zijn hebben vaak groot personeelsverloop en 2FA's zijn ook een probleem als er bv op meerdere computers ingelogd moet worden. Klanten moeten ook snel geholpen kunnen worden: een klant die 15 minuten moet wachten om in te kunnen checken omdat de 2FA-token weer zoek is kan een slechte review opleveren. Zelfde reden dat je nog altijd een ganse PNR van iemand kan opvragen met enkel een familienaam en een referentiecode (die je vaak op achtergelaten boarding passes kan zien). Sterker beveiligen zou meer problemen opleveren dan dat het oplost. Vroeger, toen alles via gesloten GDS systemen ging, was er ook amper risico met deze methodes, het is pas met het internet erbij dat de problemen gekomen zijn.

[johan.devos]

En nu ook overgenomen in HLN

https://www.hln.be/tech/hackers-vermoe ... ~aa3a4ab1/

[on4bam]

Ik vraag mij af hoe de scammers hun slachtoffers (de accommodaties dus) targetten. Blijkbaar zijn deze scams al zeer lang bezig en wij hebben al zeer veel via booking.com gereserveerd (een 20-tal dit jaar, inclusief aan aantal cancelled) maar nog nooit een scambericht ontvangen. Zijn het populaire bestemmingen, mom and pop logementen of iets anders? Zijn er al grote hotelketens getroffen (genre Holiday Inn/Hilton/Sheraton e.d.)?

Ik ga er van uit dat hotels ook bericht krijgen wanneer er iets nieuws in hun messages op booking komt, dan zouden ze in de conversaties toch ook moeten merken dat daar dingen in staan die ze zelf niet hebben gestuurd?
Het komt dus regelmatig voor, Booking.com weet er van, ze zouden dus alle accommodaties daarvan moeten op de hoogte brengen of gebracht hebben. Misschien is het nuttig om dan ook een goed zichtbare melding te plaatsen wanneer iemand een reservatie maakt om NOOIT "off-site" te betalen als daar via het message systeem om gevraagd wordt.

[CCatalyst]

En nu ook overgenomen in HLN

Nog een journalist die niet snapt dat het niet is omdat "hackers" berichten sturen via Booking.com dat Booking.com noodzakelijkerwijs "gehackt" is.

Ik vraag mij af hoe de scammers hun slachtoffers (de accommodaties dus) targetten.

Mogelijks dezelfde strategie als de Nigeriaanse prins: geen selectie, gewoon zoveel mogelijk targetten en er vallen er altijd wel enkele voor de bait? Onze overheid helpt alvast een handje met de emailadressen van alle Vlaamse logies.

Blijkbaar zijn deze scams al zeer lang bezig en wij hebben al zeer veel via booking.com gereserveerd (een 20-tal dit jaar, inclusief aan aantal cancelled) maar nog nooit een scambericht ontvangen.

Ik ook niet.

Ik ga er van uit dat hotels ook bericht krijgen wanneer er iets nieuws in hun messages op booking komt, dan zouden ze in de conversaties toch ook moeten merken dat daar dingen in staan die ze zelf niet hebben gestuurd?

Die notificaties kunnen uitgeschakeld worden.

[Tazmanian79]

Nog een artikel in een Belgische krant : https://www.gva.be/cnt/dmf20231218_92901781

[CCatalyst]

Heb van ons familielid vernomen dat Booking.com twee nieuwe beveiligingsmaatregelen geintroduceerd heeft, wat meer inzage biedt over hoe het gebeurd kan zijn (of hoe het gebeurt):

* Als een gast berichten stuurt via het platform van Booking.com, dan wordt dat bericht ook via plain email verstuurd naar het email adres van het hotel. Het hotel kan vervolgens antwoorden door gewoon te replyen vanuit de email-client, zonder het berichtenplatform van Booking.com te moeten openen. Bovendien was er geen validatie bij Booking.com of het email adres dat dan gebruikt werd om het bericht te beantwoorden ook dat van het hotel was
=> Nieuwe optie: nu kan je bepalen vanaf welke email adressen deze berichten beantwoord mogen worden. Als ze vanaf een ander email adres beantwoord worden, wordt het niet afgeleverd

* Je kan nu ook bepalen dat er geen links meer mogen staan in het antwoord dat je stuurt via het berichtenplatform (of je nu via het platform zelf antwoordt, of via een reply via email).

Ik denk daarmee nog steeds dat het probleem niet zozeer bij Booking.com zelf lag (ze zijn volgens mij iig niet gehackt) maar eerder dat hotels gehackt worden en dat men eenmaal binnen dus blijkbaar relatief eenvoudig gebruik kan maken van het berichtenplatform van Booking.com. Men moet zelfs het paswoord niet weten van de Booking.com account, als men in de email van het hotel raakt kan men eigenlijk ook berichten sturen op het platform. Of die eerste maatregel daar veel aan zal verhelpen weet ik niet, de tweede maatregel lijkt me wel effectiever want uiteraard gaf men links naar externe kredietkaartformulieren, nu zal dat moeilijker worden (mits geactiveerd).

[rmag]

Nog een kandidaat:

https://www.hln.be/binnenland/eddy-70-w ... ~accac835/

[on4bam]

Op de Humo site staat ook een artikel, ik zie het niet direct in de index van het magazine. Het staat wel achter de betaalmuur. Ik bekijk het later vandaag eens.

In short:

Bart Preneel. ‘De hackers werken via de hotels, b&b’s en campings waar je via Booking.com kunt reserveren. Ze zoeken de zwakke plekken in hun cyberbeveiliging. Ze sturen hen een mail met bijvoorbeeld een vraag over een verloren voorwerp of over een kind met een allergie. In die mail zit malware, waardoor de hackers toegang krijgen tot de bestanden van het hotel.

Exact wat hier al een hele tijd werd geschreven.

het zou gaan om ‘een klein deel van een procent van de 28 miljoen accommodaties op Booking.com.’

Dat zijn natuurlijk nog wel heel veel accounts.

En dan:

Testaankoop kent momenteel geen klachten hierover

Dat vind ik vreemd...

[Ptoeneigh]

Booking heeft nu een waarschuwing geïmplementeerd in hun app / chat:

IMG_5384.jpeg

[on4bam]

It's that time of the year again. We plannen onze vakantie voor volgend jaar en maakten een boeking die prompt werd bevestigd (zoals altijd). Een klein half uurtje later krijg ik via de messageboard van booking een nieuw bericht van de accommodatie dat hun bank niet toelaat om manueel aan te rekenen aan een creditcard. Ik krijg een link die verwijst naar shop.directpay.online, een site die best zou werken in Chrome

Ondertussen booking.com op de hoogte gesteld.

Dit is 99.99% een poging tot oplichting en ik ga ook de accommodatie contacteren maar omdat ik niet weet of enkel hun booking.com account gehackt is twijfel ik of ik hen een rechtstreekse mail zou sturen.
In elk geval lijkt deze vorm van scam nog niet gestopt.

Toegevoegd na 19 uren 8 minuten 40 seconden:
Ik denk dat mijn mail naar booking niet door mensen behandeld werd. Vandaag antwoord. Eerst vraag naar meer info (maar zo algemeen dat ik vermoed dat het een AI antwoord was). Na mijn antwoord daar op kreeg ik een nieuwe mail (message) dat zij mijn "vraag" doorgestuurd hadden naar de accommodatie.

Toegevoegd na 1 uur 37 minuten 40 seconden:
Ondertussen antwoord van zowel booking.com als rechtstreeks van de accommodatie, de link die ze sturen klopt en is niet frauduleus. Bij het sturen van een rechtstreekse mail naar het hotel heb ik de logs van de mailserver bekeken en nadat ik antwoord kreeg van hen de IPs en domeinen vergeleken. Dat lijkt allemaal te kloppen net als een extra pdf die ik toegestuurd kreeg.
Ook booking heeft contact gehad en mij apart geantwoord.

Toch vreemd dat men exact doet waarvoor booking.com mensen waarschuwt, "betaal nooit buiten ons platform".

In case you provided us with your credit card to guarantee your booking, please note that our bank do not allow us to charge your cards manually. Herewith below payment link for your booking. It works better in chrome with a maximum of xxxxx per transaction.
https://shop.directpay.online/paymybill ... odatienaam
Please forward us you POP once payment is done to