Burlas com contas da Booking: como proteger o alojamento e os hóspedes

Os burlões entram na extranet da Booking de um alojamento (a área onde se gerem preços, reservas e mensagens) com palavras-passe roubadas: um e-mail falso "da Booking" leva um funcionário a uma página que lhe pede para colar um comando no computador, ou um programa instalado às escondidas copia as palavras-passe guardadas no navegador. Com a conta aberta, escrevem aos hóspedes pelo chat verdadeiro da Booking, com o nome, as datas e o valor certos, e pedem que "confirmem o cartão" numa página falsa. As defesas estão ao alcance do gerente: o código da aplicação Pulse, uma conta por pessoa, uma regra na receção (nunca colar comandos pedidos por um site) e um aviso aos hóspedes na mensagem de confirmação.

Como os burlões entram na conta do alojamento

O método que a Microsoft, a Securonix e a Sekoia descreveram chama-se ClickFix. Em 13 de março de 2025, a Microsoft Threat Intelligence descreveu uma campanha a que chama Storm-1865, iniciada em dezembro de 2024, contra quem trabalha em hotéis e alojamentos que usam a Booking na Europa, na América do Norte, no Sul e Sudeste da Ásia e na Oceânia. Os e-mails imitam a Booking e falam de uma avaliação negativa, do pedido de um futuro hóspede, de uma promoção ou de uma verificação da conta. O link abre uma página com um falso "não sou um robô" sobre um fundo da Booking, que pede ao funcionário para abrir a janela "Executar" do Windows com uma combinação de teclas e colar um texto que a página já pôs na memória do computador. Esse texto instala programas que roubam palavras-passe e dados de pagamento.

Em 5 de janeiro de 2026, a Securonix publicou outra variante, dirigida a empresas de hotelaria europeias: um falso aviso de cancelamento da Booking com uma cobrança alta em euros (num dos exemplos, 1 004,38 €), uma página que simula um erro e depois o ecrã azul do Windows, e três passos para "resolver": Windows+R, Ctrl+V, Enter. No fim fica instalado um programa que dá ao atacante controlo remoto do computador.

Nem sempre começa por um e-mail. Em 2023, a Akamai descreveu ataques que começavam com um pedido de reserva normal; a seguir, o "hóspede" mandava ao hotel e-mails aflitos com um link para "fotografias", que instalava um programa de roubo de dados. A Sekoia acompanhou, entre abril e outubro de 2025, uma campanha que usava ClickFix e um programa de acesso remoto para roubar a hotéis os acessos à Booking e à Expedia. Segundo a Sekoia, esses acessos roubados vendem-se em fóruns criminosos, um a um ou em lote, e os de melhor qualidade custam entre 5 e 5 000 dólares cada.

Como os hóspedes são enganados

Com a extranet aberta, o burlão vê o mesmo que a receção: nome do hóspede, datas, valor e mensagens. Escreve pelo chat da Booking, por WhatsApp, SMS ou e-mail, perto do momento em que o hóspede espera notícias do alojamento. No caso descrito pela Akamai, a mensagem pedia para "voltar a confirmar o cartão" e ameaçava cancelar a reserva se nada fosse feito em 24 horas. O link abre uma página igual à da Booking, por vezes com um chat de "apoio" para manter a pessoa a pagar. A Sekoia chamou à campanha "I Paid Twice" ("paguei duas vezes") por causa de um hóspede que pagou a mesma reserva ao hotel e aos burlões.

Em 28 de maio de 2026, a Gen Digital, dona da Norton, contou mais de 350 alojamentos em 50 países cujos dados de reservas foram usados nestes ataques, e escreveu que o número é conservador. Em abril de 2026, a Booking disse ter detetado atividade suspeita nos seus sistemas e avisou clientes de que terceiros não autorizados tinham acedido a dados de algumas reservas (nomes, e-mails, telefones e detalhes da reserva). Acrescentou que os dados de cartão não foram afetados e mudou o PIN dessas reservas, segundo o resumo do INCIBE-CERT, a equipa espanhola de resposta a incidentes, que em maio dava a origem exata como ainda em investigação. Em 21 de outubro de 2026, a Comissão Europeia abriu um procedimento formal ao abrigo do Regulamento dos Serviços Digitais que inclui a forma como os dados de reservas e de hóspedes são partilhados com os alojamentos e o funcionamento do serviço de mensagens da Booking.

O prejuízo chega depois ao alojamento: o hóspede culpa quem lhe escreveu "em nome do hotel", deixa uma avaliação má, pede o dinheiro de volta ou contesta pagamentos.

O que a Booking pede aos alojamentos

A página de segurança da conta no Partner Hub diz que a verificação em dois passos é obrigatória desde o registo: além da palavra-passe, a Booking envia um código para um telefone da equipa ou para a aplicação Pulse (a aplicação da Booking para alojamentos). A mesma página recomenda o código gerado na aplicação (chamado TOTP) em vez do SMS, porque as mensagens de texto podem ser lidas por outras pessoas, duram mais tempo e não são cifradas, enquanto o código da aplicação expira depressa. Ativa-se na extranet, no ícone da conta, em "My devices": escolhe-se o dispositivo e carrega-se em "Enable 2FA via Pulse".

A Booking escreve que nunca pede dados de acesso. Se alguém da equipa deu a palavra-passe e o código a terceiros, ou recebeu chamadas e mensagens a pedir alterações na conta, a Booking pede contacto em 24 horas. Aos hóspedes, a Booking diz que nunca pede dados de cartão por e-mail, telefone, SMS ou WhatsApp, nem uma transferência bancária diferente das condições de pagamento da confirmação da reserva.

O que fazer esta semana

Tudo isto pode ser feito pelo gerente, sem ajuda externa, e é o que tratamos com a equipa no Raio-X no local.

1. Ative o código da aplicação Pulse para cada pessoa que entra na extranet e confirme que o telefone registado pertence a alguém que ainda trabalha consigo.
2. Dê a cada pessoa a sua própria conta na extranet, só com as permissões de que precisa. Apague as contas de quem saiu e acabe com a palavra-passe partilhada da receção. Em "My devices", retire os dispositivos que não reconhecer.
3. Proteja o e-mail associado à conta da Booking com verificação em dois passos e uma palavra-passe que não use em mais lado nenhum. Quem controla esse e-mail consegue repor a palavra-passe da extranet.
4. Afixe junto ao computador da receção uma regra de uma linha: "Nenhum site, nenhuma verificação e nenhuma pessoa ao telefone nos pede para carregar em Windows+R, colar e carregar Enter. Se aparecer, feche a página e avise o gerente."
5. Junte a equipa 20 minutos e mostre os iscos reais: avaliação negativa, cancelamento com cobrança alta, hóspede com link para fotografias, verificação de conta. Combine que qualquer aviso destes se confirma abrindo a extranet pelo endereço escrito à mão ou pela aplicação Pulse, nunca pelo link.
6. Não guarde a palavra-passe da extranet no navegador do computador da receção e use esse computador só para trabalho.
7. Acrescente à mensagem de confirmação e à mensagem antes da chegada um aviso como este: "Nunca lhe pediremos dados do cartão por mensagem, WhatsApp ou link. Se receber um pedido destes em nosso nome, não pague e ligue-nos para o +351 ...".
8. Verifique se o domínio do alojamento tem DMARC em quarentena ou rejeição, para que ninguém envie e-mails falsos com o seu endereço. Em novembro de 2026 verificámos os 109 sites que os empreendimentos turísticos do Sotavento indicam no Registo Nacional de Turismo, e 56 dos 83 domínios (67%) não davam aos servidores de correio instrução para rejeitar ou pôr em quarentena e-mails falsos. O guia sobre SPF, DKIM e DMARC explica como corrigir, e o Raio-X Digital gratuito inclui esta verificação.

O que só se vê dentro do alojamento

Estas campanhas funcionam em série: a Gen Digital descreve páginas falsas geradas em massa para hotéis, hostels, guesthouses, moradias e apartamentos. Os e-mails falsos chegam a alojamentos de todos os tamanhos, incluindo os bem geridos, e a pergunta útil é o que acontece quando um chega ao seu. Nas campanhas da Microsoft, da Securonix, da Sekoia e da Akamai, a entrada foi o computador de alguém da equipa.

Uma verificação no local olha para o que não se vê de fora:

• computadores e telemóveis da equipa com o sistema e o navegador atualizados e a proteção contra vírus ativa;
• nenhum programa de controlo remoto, como o AnyDesk ou o TeamViewer, instalado ou ligado sem necessidade;
• o acesso de administração do router fechado e nada aberto para a internet que não devia estar, como câmaras ou gravadores;
• o Wi-Fi dos hóspedes separado da rede do escritório e das câmaras;
• cópias de segurança que já foram restauradas pelo menos uma vez;
• uma conta para cada pessoa.

É o que verificamos no Raio-X no local, uma visita em que também fechamos as contas, com um relatório curto no fim e orçamento à medida para o que houver a corrigir.

O que fazer se a conta já foi atacada

Comece pelo computador. Desligue da rede o computador onde alguém colou o comando ou abriu o link, e não volte a usá-lo para a extranet até estar limpo ou reinstalado. Os programas destas campanhas copiam palavras-passe, incluindo as guardadas no navegador, por isso todas as que lá estavam devem ser mudadas a partir de outro dispositivo, começando pelo e-mail e pela Booking.

Depois siga os passos que a Booking indica: reponha a palavra-passe em "Forgot your password?" na página de entrada da extranet, veja se mudaram dados na extranet (por exemplo contactos, dados bancários, utilizadores ou mensagens enviadas) e use "Report a security issue" dentro de 24 horas. Ligue também para o apoio a parceiros da Booking.

Avise os hóspedes com reservas futuras, por telefone ou por e-mail a partir do domínio do alojamento, de que não pede pagamentos por link e de que devem ignorar mensagens recentes nesse sentido. A quem já pagou, diga que contacte o banco de imediato.

Guarde as provas antes de apagar o que quer que seja: os e-mails falsos com os cabeçalhos, capturas de ecrã das mensagens enviadas em seu nome, os links e as horas. Apresente queixa na PSP, na GNR, na Polícia Judiciária ou no Ministério Público. Quem a faz em nome próprio, como pessoa singular, pode usar o Sistema de Queixa Eletrónica do Ministério da Administração Interna. Pode ainda comunicar o incidente ao CERT.PT, a equipa de resposta do Centro Nacional de Cibersegurança, pela plataforma MyCiber ou por cert@cert.pt, como indica a página de notificação do CNCS.

Se terceiros viram dados de hóspedes, o artigo 33.º do RGPD obriga a notificar a CNPD, sempre que possível em 72 horas, salvo se não houver risco para as pessoas, e a documentar o incidente mesmo quando não há notificação. A CNPD tem um formulário próprio para isso.