אתר ההזמנות Booking.com החל ב-13 באפריל 2026 ליידע לקוחות שגורמים לא מורשים הצליחו לגשת לפרטי הזמנות של אורחים. המידע שנחשף כולל שמות, כתובות דואר אלקטרוני, מספרי טלפון ופרטי ההזמנה עצמה, בדיוק מה שדרוש כדי להתחזות למלון בצורה משכנעת.

מה קרה

לפי החברה, התוקפים לא פרצו ישירות למערכות של Booking.com אלא לחשבונות של בתי מלון שותפים. לפי דיווח של מיקרוסופט, השיטה ששימשה נקראת ClickFix (הודעה שמשכנעת עובד במלון להריץ בעצמו "תיקון" מזויף למחשב, שהוא למעשה תוכנה זדונית). כך השתלטו התוקפים על חשבון המלון ושאבו ממנו את רשימת ההזמנות. מספר הלקוחות שנפגעו מוערך באלפים, ואצל כמה מאות מהם נחשפו גם פרטי כרטיס אשראי. Booking.com הדגישה שרוב המידע הפיננסי לא נגנב, ואיפסה קודי PIN של הזמנות שנפגעו.

הבעיה האמיתית מתחילה אחרי הגניבה: עוד לפני שהחברה הספיקה להודיע ללקוחות, נוכלים כבר שלחו הודעות פישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים) בוואטסאפ וב-SMS. ההודעות כללו את שם המלון, תאריכי השהייה ומספר ההזמנה האמיתיים, ולכן נראו זהות להתכתבות לגיטימית מהמלון. בדרך כלל הן ביקשו "לאשר מחדש" את פרטי כרטיס האשראי או לשלם "פיקדון" קטן כדי לא לאבד את החדר, ולחצו על הקורבן למהר. זו אינה תופעה חדשה סביב Booking.com, אך הפעם הדליפה סיפקה לנוכלים חומר גלם מדויק במיוחד.

למה זה חשוב לכם

ישראלים רבים מזמינים חופשות דרך Booking.com, וההודעה "מהמלון" שמבקשת לאשר מחדש את פרטי האשראי כדי "לא לאבד את ההזמנה" עלולה להיראות אמינה לחלוטין כשהיא מכילה את הפרטים הנכונים. זה בדיוק הטריק: פרטים מדויקים אינם הוכחה שההודעה אמיתית.

מה עושים?

אל תלחצו על קישורי תשלום שמגיעים בוואטסאפ או ב-SMS, גם אם ההודעה כוללת את שם המלון והתאריכים הנכונים. מלון אמיתי לא יבקש מכם למסור פרטי אשראי מלאים בצ'אט.

אם קיבלתם הודעה כזו, היכנסו לאפליקציה של Booking.com או לאתר הרשמי ישירות (לא דרך הקישור בהודעה) ובדקו שם אם באמת נדרשת פעולה.

במקרה של ספק, התקשרו למלון למספר שמופיע באתר הרשמי שלו ואמתו מולו.

אם כבר מסרתם פרטי אשראי, פנו מיד לחברת האשראי לחסימת הכרטיס ועקבו אחר חיובים חריגים.

המקרה ממחיש כלל פשוט: דחיפות ובקשה למסור פרטי תשלום הן סימני אזהרה, גם כשכל שאר הפרטים נראים נכונים.