Komisja Europejska sprawdza Booking.com. Chodzi o fałszywe apartamenty i wyłudzenia

Płacisz za nocleg, a po przyjeździe okazuje się, że takiego miejsca w ogóle nie ma. Albo otrzymujesz od rzekomego hotelu prośbę o ponowne uregulowanie płatności, choć w rzeczywistości korespondujesz z przestępcą. Komisja Europejska postanowiła zbadać, czy Booking.com wystarczająco chroni swoich klientów przed takimi sytuacjami. W polu zainteresowania unijnych urzędników znalazły się nie tylko fałszywe ogłoszenia i próby wyłudzeń, ale też mechanizm płatnego eksponowania ofert hotelowych w wyszukiwarce.

Trzy obszary, które budzą niepokój Brukseli

Komisja Europejska ogłosiła wszczęcie formalnego postępowania wobec Booking.com, powołując się na przepisy aktu o usługach cyfrowych (Digital Services Act, DSA). Zdaniem urzędników platforma mogła zbyt pobieżnie analizować i minimalizować zagrożenie oszustwami przy rezerwacji noclegów.

Pierwszy wątek dotyczy nieistniejących mieszkań, fikcyjnych ofert noclegowych oraz osób podszywających się pod właścicieli obiektów. Komisja chce sprawdzić, w jaki sposób Booking.com weryfikuje takie wpisy i czy skutecznie je usuwa, gdy wykryje nieprawidłowości.

Druga kwestia to phishing, czyli próby wyłudzenia danych osobowych i środków finansowych przez osoby udające zaufane instytucje. Trzeci obszar to przejrzystość reklam – Bruksela zamierza ustalić, czy klienci rzeczywiście są informowani, które hotele zajmują wysokie pozycje w wynikach dzięki dodatkowym opłatom.

Gdy wiadomość wygląda jak od hotelu, a pieniądze trafiają do przestępcy

Najbardziej niepokojący wydaje się mechanizm oszustw opierających się na autentycznych danych rezerwacji. Cyberprzestępcy mogą zdobyć dostęp do kont obiektów noclegowych albo do informacji o gościach, a następnie wykorzystać je, by stworzyć wiarygodnie wyglądającą wiadomość.

Poszkodowany dostaje komunikat odnoszący się do konkretnego, realnego pobytu – zgadza się nazwa hotelu, data przyjazdu, a nierzadko także kwota rezerwacji. Kłopoty zaczynają się, gdy domniemany przedstawiciel obiektu żąda ponownej płatności lub rzekomej weryfikacji karty płatniczej.

Jak wcześniej opisywał Spider's Web, przestępcy potrafią wysyłać takie wiadomości bezpośrednio przez wewnętrzny komunikator Booking.com, podszywając się pod personel hotelu. Zawarty w wiadomości link kieruje do fałszywej strony płatności, na której można stracić pieniądze albo dane karty. Komisja chce sprawdzić, czy sposób udostępniania informacji o gościach właścicielom obiektów oraz architektura wewnętrznego systemu wiadomości zapewniają wystarczającą ochronę przed tego typu atakami.

Podejrzenia te nie są bezpodstawne, biorąc pod uwagę wcześniejsze zdarzenia. W kwietniu informowano o naruszeniu bezpieczeństwa danych powiązanych z rezerwacjami Booking.com, po którym klientów ostrzegano przed podejrzanymi wiadomościami. Nie oznacza to jednak automatycznie, że każde tego rodzaju oszustwo wynika z bezpośredniego włamania do systemów platformy.

Wyższa pozycja za wyższą opłatę – Komisja chce przejrzystych reguł

Bruksela zbada także zasady, na jakich obiekty noclegowe zdobywają lepszą widoczność. Booking.com pozwala hotelom na zwiększenie ekspozycji ofert między innymi w zamian za wyższą prowizję od rezerwacji. Samo w sobie takie rozwiązanie nie jest zabronione. Problem pojawia się wtedy, gdy klient nie zdaje sobie sprawy, że dana pozycja hotelu wynika z dodatkowej opłaty, a nie z faktycznego dopasowania do jego preferencji.

Przepisy DSA przewidują, że użytkownik powinien mieć możliwość rozpoznania reklamy, ustalenia, kto za nią zapłacił i dlaczego akurat jemu została wyświetlona. Komisja sprawdzi, czy Booking.com przekazuje te informacje w sposób wystarczająco jasny.

To kolejny spór wokół zasad działania turystycznego giganta. Wcześniej opisywano już problemy Bookingu, w tym zastrzeżenia polskiego UOKiK oraz zarzuty dotyczące sposobu prezentacji ofert noclegowych. Obecne postępowanie stanowi jednak odrębną sprawę, związaną wyłącznie z obowiązkami wynikającymi z DSA.

Kara może sięgnąć 6 proc. globalnego obrotu

Komisja zdążyła już przeanalizować raporty Booking.com dotyczące ryzyka z ostatnich lat, dokumentację przejrzystości platformy oraz odpowiedzi na wcześniejsze pytania przesłane we wrześniu 2025 r. i maju 2026 r. Teraz może prowadzić kolejne kontrole, spotykać się z przedstawicielami firmy i żądać dodatkowych wyjaśnień.

Jeśli naruszenie przepisów zostanie potwierdzone, Komisja może nakazać wprowadzenie zmian, a nawet nałożyć karę finansową sięgającą 6 proc. rocznego światowego obrotu przedsiębiorstwa. Możliwe jest też zaakceptowanie zobowiązań zaproponowanych przez Booking.com, mających na celu usunięcie wykrytych nieprawidłowości.

Firma, cytowana przez agencję Reuters, zapewnia, że współpracuje z Komisją w sposób konstruktywny, a bezpieczeństwo użytkowników i ochrona danych należą do jej priorytetów. Na razie nie wiadomo, kiedy postępowanie dobiegnie końca.

Dla podróżujących kluczowa pozostaje czujność wobec każdej dodatkowej prośby o płatność. Nawet wiadomość otrzymana w oficjalnej aplikacji, zawierająca poprawne dane rezerwacji, nie gwarantuje, że faktycznie pochodzi od hotelu. W razie wątpliwości warto samodzielnie skontaktować się z obiektem, korzystając z niezależnie zweryfikowanego numeru telefonu, zamiast klikać w link przesłany w wiadomości.