Gefälschtes Booking.com-Inserat zeigt Sicherheitslücken auf

Die britische Verbraucherschutzorganisation Which? hat ein gefälschtes Booking.com-Inserat für den offiziellen Amtssitz des britischen Premierministers veröffentlicht.

Für den am 19. Juni veröffentlichten Test legten die Forscher von Which? Travel unter dem Namen „1 bedroom apartment in the heart of London“ ein vollständiges Inserat mit Fotos, Beschreibung sowie funktionierendem Nachrichtensystem an, samt dem prominent platzierten Hinweis „10 Downing Street, London“ neben einem Foto der bekannten Eingangstür. Obwohl eine automatische Buchungsfunktion für das Inserat deaktiviert war, gingen laut Which? bereits im ersten 20-minütigen Testfenster mindestens 14 Anfragen über die App ein. Zusätzlich verarbeitete Booking.com nach Angaben der Organisation tatsächlich mindestens eine echte Zahlung eines mit einem anderen Konto agierenden Testers für einen einwöchigen Aufenthalt, die bis August noch nicht erstattet worden sei.

Am 11. August hinterließen die Forscher zudem eine gefälschte Fünf-Sterne-Bewertung für ihr eigenes, nie tatsächlich gebuchtes Inserat, versehen mit einem Verweis auf die bekannte Downing-Street-Katze Larry. Which? Travel berichtete dazu, die Bewertung sei trotz erhaltener Ankündigung einer vorherigen Prüfung durch Moderatoren fast augenblicklich sichtbar gewesen, obwohl sie offensichtlich als Scherz erkennbar war.

Externer Phishing-Link über internes Nachrichtensystem verschickt

Als besonders problematisch werteten die Forscher, dass sich über das interne Nachrichtensystem von Booking.com ein externer Link versenden ließ, der zur Eingabe von Kreditkartendaten aufforderte, obwohl das genutzte Gastgeberkonto erst am selben Tag mit einem erkennbar frei erfundenen Inserat angelegt worden war. Anders als etwa bei Airbnb, wo entsprechende Nachrichten mit verdächtigen Links automatisch blockiert werden, habe Booking.com trotz eigener Angabe einer vergleichbaren Schutzfunktion den Link nicht abgefangen. Das Inserat selbst wurde erst am 27. August entfernt, sechs Wochen nach der ursprünglichen Veröffentlichung und nach mehreren Meldungen durch Which? an die Plattform, deutlich schneller allerdings als bei einem früheren, im Oktober 2024 durchgeführten Test derselben Organisation, bei dem die Entfernung eines vergleichbaren Fake-Inserats mehr als eineinhalb Jahre gedauert hatte.

Booking.com weist Aussagekraft des Tests zurück

Booking.com wies die Aussagekraft des Experiments zurück und erklärte, dieses sei nicht repräsentativ für die Millionen tatsächlicher Inserate und Bewertungen auf der eigenen Plattform, zudem seien bestimmte automatische Betrugserkennungsmechanismen deshalb nicht ausgelöst worden, weil das Inserat für reguläre Kunden zwischenzeitlich bereits gesperrt gewesen sei. Das Unternehmen erklärte, man setze eine Reihe von Prüf- und Verifizierungsmaßnahmen ein, um die eigene Plattform zu schützen, ergänzt um Technologien wie künstliche Intelligenz. Der Einsatz entsprechender KI-Werkzeuge helfe dabei, den Großteil betrügerischer Inserate innerhalb von 24 Stunden zu entfernen, man arbeite zudem kontinuierlich daran, den Schutz bei Bewertungen sowie verdächtigen Links in Nachrichten weiter zu verstärken.

(red)