«Белые хакеры» чуть не сдали в аренду резиденцию премьера

«Этичные хакеры» из некоммерческой организации по защите прав потребителей Which? успешно разместили объявление о сдаче резиденции премьер-министра Великобритании на Booking.com — и более десятка путешественников попытались забронировать её в течение нескольких минут. Исследователи хотели показать, насколько легко выкладывать фейковые анонсы на таких сайтах и обманывать ничего не подозревающих граждан.

Для проведения теста участники акции выбрали широко известный британский адрес — Даунинг-стрит, 10, — офис премьер-министра страны. Они создали поддельное объявление на Booking.com, используя фотографии и фальшивое описание объекта, а также ссылки для отправки фишинговых запросов.

Хотя автоматическое бронирование было отключено, в первые же 20 минут тестирования в НКО через приложение отправили по меньшей мере 14 запросов. Более того, Which? утверждает, что Booking.com фактически обработал как минимум один платёж за недельное проживание, совершённый исследователями с использованием другого аккаунта, и эти деньги до сих пор не возвращены.

Интересен и тот факт, что безопасники решили оставить фейковый отзыв о своём объекте размещения на Даунинг-стрит, 10, «поставив ему 10/10 — „исключительно“», хотя никто не бронировал и не останавливался в этом жилье. «Отзыв появился почти мгновенно, хотя это явно была шутка, включая упоминание о том, как приятно было провести время с котом Ларри», — сообщили в Which? Travel.

Эксперимент также продемонстрировал, как быстро мошенники могут получить доступ к номерам платёжных карт и другой конфиденциальной информации.

ИБ-эксперты заявили, что Booking.com позволил им использовать систему обмена сообщениями платформы, чтобы отправить внешнюю ссылку с запросом данных кредитной карты для подтверждения бронирования.

Как отметили участники акции, большинство платформ, включая Airbnb, автоматически блокирует сообщения, содержащие подозрительные ссылки, чтобы защитить пользователей от фишинговых атак, но Booking.com не из их числа.

«Объявление было окончательно удалено 27 августа после того, как Which? несколько раз уведомила платформу о поддельном объявлении, — спустя шесть недель после его первого появления», — сообщила НКО. Это можно считать «молниеносной скоростью», ведь в октябре 2024 года организация также создала фиктивный анонс, на удаление которого с сайта Booking.com потребовалось более полутора лет.

Усам Оздемиров