Hotel zna Twoją rezerwację i prosi o dopłatę. Czy ta wiadomość jest prawdziwa?

Do wyjazdu zostało kilka dni. Przychodzi wiadomość z nazwą hotelu, Twoim imieniem i prawidłowym terminem pobytu. Nadawca twierdzi, że płatność nie przeszła i rezerwacja zostanie anulowana, jeśli w ciągu kilku godzin nie uzupełnisz danych karty przez podany link.

Najbardziej niepokojące jest to, że szczegóły się zgadzają. Właśnie dlatego łatwo uznać wiadomość za prawdziwą. Znajomość rezerwacji nie dowodzi jednak, że prośba o płatność pochodzi od hotelu lub platformy. Dane mogły trafić do oszusta z przejętego konta, skrzynki, systemu dostawcy albo wcześniejszej korespondencji.

Nie rozwiązuj problemu w wiadomości, która go zgłasza

Najbezpieczniejsza zasada brzmi: opuść kanał, który wywołał presję. Nie klikaj linku z SMS-a, e-maila ani czatu rezerwacyjnego. Samodzielnie otwórz aplikację lub wpisz znany adres platformy, a następnie sprawdź status rezerwacji i zasady płatności w pierwotnym potwierdzeniu.

Skontaktuj się z obsługą platformy przez oficjalną aplikację lub stronę. Możesz też zadzwonić do obiektu, lecz numer znajdź niezależnie — na oficjalnej stronie lub w pierwotnym potwierdzeniu, nie w podejrzanej wiadomości. Zapytaj wprost, czy płatność jest zaległa, jaka kwota powinna zostać pobrana i jak wygląda zatwierdzona metoda zapłaty.

Nie wystarczy odpowiedź na tym samym czacie: „tak, to my”. Jeżeli kanał lub konto zostały przejęte, odpowiadać może ta sama osoba, która wysłała fałszywy link.

Szczegóły prawdziwe, sposób płatności obcy

Oszukańcza wiadomość może wyglądać lepiej niż typowy masowy phishing. Może zawierać numer rezerwacji, daty, kwotę i nazwę obiektu. Zamiast szukać literówki, porównaj żądanie z umową, którą już masz:

• czy pierwotne potwierdzenie przewidywało przedpłatę, płatność na miejscu czy automatyczne obciążenie karty;
• czy termin i kwota zgadzają się z warunkami rezerwacji;
• czy platforma pokazuje problem po zalogowaniu otwartym z zaufanej aplikacji;
• czy wiadomość przenosi płatność poza serwis, na nieznaną stronę, zwykły przelew lub komunikator;
• czy krótki termin i groźba anulowania nie mają odebrać czasu na telefon.

Prawdziwy problem z kartą może się zdarzyć. Nie oznacza to jednak, że trzeba naprawić go metodą wskazaną w niespodziewanej wiadomości.

Co zrobić, gdy link został otwarty

Samo otwarcie strony nie oznacza automatycznie utraty pieniędzy. Zamknij ją i nie wpisuj żadnych danych. Jeżeli pobrał się plik, nie uruchamiaj go i zgłoś sytuację wsparciu IT, zwłaszcza na urządzeniu służbowym.

Jeżeli podałeś dane karty lub zatwierdziłeś płatność, skontaktuj się natychmiast z bankiem przez numer z aplikacji, oficjalnej strony lub karty. Poproś o zabezpieczenie karty i sprawdzenie możliwości zatrzymania transakcji. Zgłoś fałszywą wiadomość platformie rezerwacyjnej i obiektowi, zachowując zrzuty ekranu, adres strony, godzinę oraz potwierdzenie płatności.

Gdy na fałszywej stronie wpisane zostało hasło, zmień je w prawdziwym serwisie, zakończ inne sesje i włącz dodatkowe uwierzytelnienie. Jeśli to samo hasło było używane gdzie indziej, zmień je również tam. Stratę finansową lub wyłudzenie warto zgłosić Policji, dołączając zebrane dowody.

Podróż służbowa zwiększa presję

W firmie wiadomość o anulowaniu noclegu może dotrzeć do osoby, która jest w drodze, na lotnisku albo między spotkaniami. To zły moment na dokładne czytanie regulaminu. Dlatego procedura podróży powinna z góry wskazywać, kto weryfikuje dodatkową płatność: podróżny, osoba zamawiająca wyjazd czy biuro podróży.

Dobrym zabezpieczeniem jest zasada, że nowa metoda płatności lub zmiana rachunku wymaga potwierdzenia znanym kanałem. Pracownik powinien też móc odłożyć sprawę na kilka minut bez obawy, że zostanie obwiniony za opóźnienie. Oszust sprzedaje presję; organizacja może dać człowiekowi prawo do pauzy.

Co potwierdza źródło, a co wnioskujemy

Booking.com w oficjalnych wskazówkach bezpieczeństwa dla podróżnych zaleca porównanie prośby o płatność z zasadami w potwierdzeniu rezerwacji, ostrożność wobec pilnych żądań zapłaty lub kontaktu poza platformą oraz korzystanie z oficjalnych kanałów obsługi. To źródło potwierdza opisane sygnały i sposób weryfikacji.

Zasada opuszczenia kanału, który wywołał presję, oraz firmowa ścieżka zatwierdzania dopłat są rekomendacjami Breachroad. Nie oznaczają, że każda dodatkowa płatność jest oszustwem — mają sprawić, że prawdziwa i fałszywa prośba zostaną sprawdzone tą samą, bezpieczną metodą.

Kontekst realnego incydentu opisujemy w artykule o wycieku danych z systemu rezerwacyjnego polskich hoteli, a przykładową lekcję dla branży znajdziesz w szkoleniu phishingowym dla hoteli. Organizacjom planującym podobne ćwiczenia oferujemy szkolenia z cyberbezpieczeństwa i symulacje phishingu Breachroad.