Rezerwujesz nocleg online? Te wiadomości i linki mogą być próbą wyłudzenia

Fałszywy link nie musi przyjść z przypadkowego numeru ani podejrzanego adresu e-mail. Przestępcy mogą przejąć konto obiektu i wysłać wiadomość dotyczącą prawdziwego pobytu przez kanał, w którym klient wcześniej kontaktował się z hotelem. To sprawia, że zgadzają się nie tylko dane rezerwacji, ale czasem także miejsce, w którym pojawia się komunikat.

Weryfikację trzeba więc oprzeć na samej zmianie w procesie. Jeśli po dokonaniu rezerwacji nagle pojawia się nowa płatność, inny rachunek albo konieczność ponownego wpisania danych karty, najpierw sprawdź status pobytu w panelu i potwierdź żądanie niezależnym kanałem.

Oszustwo może zacząć się przed rezerwacją albo po jej opłaceniu

Oszustwa związane z noclegami zaczynają się na różnych etapach. Przed rezerwacją przestępca może wystawić fałszywą ofertę i próbować skierować płatność poza serwis. Po prawdziwej rezerwacji może natomiast wykorzystać dane pobytu jako pretekst do ponownego podania danych karty albo wykonania przelewu.

Oferta wymaga szybkiej wpłaty poza platformą

Sama atrakcyjna cena albo dostępność noclegu nie świadczą o oszustwie. Więcej uwagi wymaga sytuacja, w której po rozpoczęciu rezerwacji zmienia się ustalony sposób płatności: obiekt prosi o przelew na prywatny rachunek, przesyła osobny link albo próbuje przenieść dalszy kontakt poza platformę.

Jeżeli nocleg znalazłeś w serwisie rezerwacyjnym, porównaj żądanie z zasadami płatności zapisanymi w potwierdzeniu rezerwacji. Booking.com zaleca kontakt z obsługą platformy, gdy obiekt żąda płatności poza ustalonym sposobem, wywiera presję czasu albo grozi anulowaniem rezerwacji.

Numer telefonu do obiektu znajdź samodzielnie na jego oficjalnej stronie albo w panelu rezerwacji. Nie korzystaj w tym celu z danych przesłanych w wiadomości, której autentyczność właśnie sprawdzasz.

Po opłaceniu pobytu pojawia się prośba o kolejną płatność

Wiadomość może informować, że karta nie została prawidłowo zweryfikowana, płatność się nie powiodła albo rezerwacja wygaśnie, jeśli gość nie wykona dodatkowej czynności. Czasem chodzi o niewielką dopłatę, innym razem o ponowne podanie danych karty lub opłacenie całego pobytu. Niewielka dopłata może być tylko pretekstem do otwarcia fałszywego formularza. Ten mechanizm szerzej opisuje poradnik „Dlaczego oszust prosi o 1,49 zł? Po co w fałszywych SMS-ach pojawiają się małe dopłaty”.

W takiej sytuacji najpierw otwórz aplikację lub stronę, przez którą dokonałeś rezerwacji. Sprawdź status płatności i warunki zapisane w pierwotnym potwierdzeniu. Jeśli nie ma tam informacji o problemie, nie wykonuj operacji tylko na podstawie otrzymanego SMS-a lub e-maila.

Szczególną ostrożność zachowaj, gdy jednocześnie zmienia się kwota, numer rachunku albo sposób płatności. UOKiK wskazuje, że fałszywe wiadomości związane z noclegami mogą wykorzystywać groźbę utraty rezerwacji właśnie po to, aby skłonić odbiorcę do szybkiego użycia przesłanego linku.

Fałszywa wiadomość może pojawić się nawet w systemie rezerwacyjnym

Obecność wiadomości w dotychczasowym wątku z obiektem również nie daje pełnej gwarancji jej autentyczności. CSIRT KNF opisywał przypadki, w których przestępcy uzyskiwali dostęp do kont obiektów w Booking.com, a następnie wysyłali gościom wiadomości przez system platformy. Link prowadził do podstawionej strony służącej do przejęcia danych karty.

Dlatego prawidłowa nazwa hotelu, numer rezerwacji i miejsce, w którym pojawiła się wiadomość, nie powinny być jedynymi kryteriami oceny. Znacznie więcej mówi to, czy nadawca zmienia wcześniej ustalone warunki i czego żąda w kolejnym kroku.

Co sprawdzić w wiadomości o płatności za nocleg?

Najlepszym punktem odniesienia są informacje ustalone podczas rezerwacji. Zanim wykonasz kolejną płatność, porównaj nową wiadomość z potwierdzeniem, panelem klienta i wcześniejszymi zasadami.

Czy zmieniła się kwota, rachunek albo sposób płatności?

Jeżeli rezerwacja przewidywała płatność przez platformę, a nowa wiadomość kieruje do przelewu na rachunek bankowy, trzeba potwierdzić zmianę. Tak samo należy potraktować nagłą dopłatę albo prośbę o ponowne obciążenie karty.

Zadzwoń do obiektu na numer znaleziony na jego oficjalnej stronie albo skontaktuj się z obsługą serwisu rezerwacyjnego. Zapytaj konkretnie, czy wysłano prośbę o dodatkową płatność i z czego wynika zmiana.

Adres strony trzeba sprawdzić niezależnie od jej wyglądu

Fałszywy formularz może bardzo dokładnie przypominać stronę serwisu rezerwacyjnego. CSIRT KNF pokazywał strony przygotowane pod Booking.com, które wykorzystywały wygląd znanej platformy i prosiły o dane karty pod pretekstem potwierdzenia pobytu lub płatności.

Literówka, nietypowa końcówka domeny albo nieznany adres są sygnałami ostrzegawczymi, ale sam poprawny wygląd strony niczego nie potwierdza. Zamiast otwierać link z wiadomości, uruchom aplikację albo samodzielnie wpisz adres platformy w przeglądarce i sprawdź rezerwację na swoim koncie.

Krótki termin nie powinien zastępować weryfikacji

„Zapłać w ciągu 24 godzin” albo „rezerwacja zostanie anulowana” to komunikaty, które ograniczają czas na zastanowienie. Sama pilność nie przesądza jeszcze o oszustwie, bo również prawdziwe rezerwacje mają terminy płatności. Problem pojawia się wtedy, gdy nowy termin nie zgadza się z wcześniej ustalonymi warunkami albo towarzyszy mu niespodziewany link do płatności.

Booking.com w swoich zaleceniach bezpieczeństwa wskazuje prośby o pilny przelew pod groźbą anulowania rezerwacji jako sytuację wymagającą dodatkowej weryfikacji.

Jak zweryfikować wiadomość bez korzystania z jej linku?

Nie musisz rozstrzygać na podstawie samego SMS-a lub e-maila, czy wiadomość jest prawdziwa. W większości przypadków można sprawdzić najważniejsze informacje inną drogą:

otwórz samodzielnie aplikację lub stronę serwisu i sprawdź status rezerwacji;
porównaj kwotę, termin i sposób płatności z pierwotnym potwierdzeniem;
przy zmianie rachunku lub warunków skontaktuj się z obiektem przez numer znaleziony niezależnie od wiadomości;
przed zatwierdzeniem operacji przeczytaj w aplikacji bankowej jej kwotę i opis.

Jeśli wiadomość przyszła SMS-em albo ktoś kontaktuje się z widocznego numeru, możesz sprawdzić go również w wyszukiwarce numerów telefonów InfoNumer. Wcześniejsze komentarze mogą pokazać, że inni użytkownicy otrzymywali podobne wiadomości lub telefony.

Jakich danych nie podawać osobie kontaktującej się w sprawie noclegu?

Nie wysyłaj w zwykłej wiadomości zdjęcia karty ani danych potrzebnych do logowania do bankowości. Gospodarz lub konsultant serwisu nie potrzebuje twojego hasła do banku, kodu BLIK ani kodu SMS służącego do zatwierdzania operacji.

Jeżeli link prowadzi do formularza wymagającego pełnych danych karty, zwróć szczególną uwagę na to, co faktycznie zatwierdzasz później w aplikacji bankowej. Komunikat autoryzacyjny powinien odpowiadać operacji, którą zamierzasz wykonać. Oszuści mogą przedstawiać jeden proces jako „potwierdzenie rezerwacji”, mimo że w banku użytkownik zatwierdza płatność albo inną zmianę dotyczącą rachunku.

Przy przelewie numer rachunku i kwotę porównaj z potwierdzeniem rezerwacji lub panelem platformy. Jeśli rachunek zmienia się tuż przed płatnością, nie wysyłaj pieniędzy przed bezpośrednim potwierdzeniem tej zmiany z obiektem.

Co zrobić po kliknięciu w podejrzany link?

Samo otwarcie strony nie oznacza jeszcze, że oszust otrzymał dane. Jeśli niczego nie wpisałeś i niczego nie pobrałeś, zamknij stronę. Sprawdź też, czy przeglądarka nie rozpoczęła pobierania pliku.

Jeżeli podałeś na fałszywej stronie dane karty, jak najszybciej skontaktuj się z bankiem. UOKiK zaleca w sytuacji przejęcia danych karty poinformowanie dostawcy usług płatniczych i zastrzeżenie karty, aby ograniczyć ryzyko kolejnych transakcji.

Gdy wpisałeś również login, hasło lub kod autoryzacyjny, przekaż bankowi dokładnie, jakie informacje podałeś i czy zatwierdziłeś jakąkolwiek operację. Zachowaj wiadomość, adres fałszywej strony, widoczny numer lub nazwę nadawcy, potwierdzenie rezerwacji oraz dane wykonanych płatności.

Podejrzany SMS zawierający złośliwy link możesz bezpłatnie przekazać do CERT Polska na numer 8080. Podejrzane strony i inne incydenty można zgłaszać również przez formularz CERT Polska.

Jeżeli doszło do utraty pieniędzy, skontaktuj się z bankiem i zgłoś sprawę Policji.