Громадська організація Which? виявила слабкі місця в системі безпеки Booking.com, розмістивши на платформі фейкове оголошення про оренду житла за адресою 10 Даунінг-стріт.
За нетривалий час, поки оголошення було активним, 14 осіб намагалися забронювати це “житло” (хоча Which? не проводила оплату).
Проте, дослідникам Which? вдалося провести реальний платіж від власної команди, який не було повернуто навіть через шість тижнів.
Захисники прав споживачів стверджують, що цей експеримент доводить наявність “кричущих прогалин” у системах безпеки Booking.com, що наражає мандрівників на шахрайство.
Лише за кілька хвилин ходьби від Парламенту
18 червня дослідник Which? розмістив на Booking.com оголошення під назвою “Апартаменти з 1 спальнею в центрі Лондона”.
В описі вказувалася точна адреса та фотографія вхідних дверей 10 Даунінг-стріт, а також обіцянка ідеального розташування “лише за чотири хвилини ходьби до будівель Парламенту”.
Оголошення було спеціально налаштоване так, щоб користувачі мали надсилати запит на бронювання, а не бронювати миттєво.
Which? зазначає, що вікно для бронювання було відкрито “дуже коротко” – 20 хвилин. За цей час 14 осіб спробували забронювати, але оплата з них не стягувалася.
Booking.com також обробив платіж від дослідника Which? за тижневе перебування у фейковому помешканні. Кошти досі не повернули.
To view this video please enable JavaScript, and consider upgrading to a webbrowser thatsupports HTML5video
11 серпня Which? додав фейковий відгук, оцінивши Даунінг-стріт на 10/10 як “виняткове” місце для проживання, згадавши, як приємно було проводити час із котом Ларрі.
Після того, як Which? написав відгук, Booking.com надіслав повідомлення про те, що він “буде перевірений нашою командою модераторів”, і відгук з’явився на сайті “майже миттєво”.
Оголошення зрештою було видалено 27 серпня, після того, як Which? стверджує, що неодноразово повідомляв платформу про фейкове оголошення, через шість тижнів після його первісного розміщення.
“Кричущі прогалини” в безпеці
Which? заявляє, що їхнє розслідування “виявило системні збої в безпеці” на Booking.com.
Наприклад, Which? стверджує, що під час використання окремого облікового запису для бронювання тижневого перебування, вони змогли надіслати на цей обліковий запис електронного листа з посиланням, що вимагає оплати.
Інші платформи, такі як Airbnb, автоматично блокують подібну кореспонденцію, забороняючи зовнішні веб-посилання, щоб запобігти фішинговим шахрайствам.
І хоча Booking.com повідомив Which?, що вони також мають можливість блокувати URL-адреси, що надсилаються через систему обміну повідомленнями, якщо підозрюють шахрайську діяльність, у цьому випадку цього не сталося.
Крім того, Which? зазначає, що в попередньому розслідуванні 2024 року, коли вони створили інше фейкове оголошення, Booking.com знадобилося 18 місяців, щоб попросити підтвердження особи.
Це сталося, незважаючи на заяви платформи про серйозне ставлення до перевірки оголошень про житло та численні перевірки перед тим, як оголошення стають доступними для бронювання.
Коли Which? не надав цю інформацію, оголошення було заблоковано через 20 місяців після його створення.
Рори Боланд, редактор Which? Travel, зазначив: “Якщо витончені системи штучного інтелекту Booking.com не можуть розпізнати, що 10 Даунінг-стріт не є житлом для відпочинку, то не дивно, що шахраї так легко експлуатують платформу.
Було б смішно, якби ми могли здати в оренду найвідомішу адресу Великої Британії, якби наслідки не були такими руйнівними для відпочивальників, які ризикують втратити тисячі фунтів через підставні оголошення та фішингові посилання.”
Заклики до регуляторних дій
Згідно із Законом про безпеку в Інтернеті (Online Safety Act), Booking.com зобов’язаний мати заходи для запобігання завантаженню фейкових оголошень.
Ofcom, регулятор, відповідальний за виконання цього закону, ще не вжив заходів, стверджує Which?.
Редактор Роланд Боланд сказав: “Перевірки Booking.com явно не відповідають призначенню, і прем’єр-міністр тепер має закликати Ofcom використовувати Закон про безпеку в Інтернеті для боротьби з безвідповідальними онлайн-платформами, які залишають споживачів вразливими до шахрайства.”
Речник Ofcom зазначив: “Щодо незаконного контенту, створеного користувачами, платформи мають існуючі юридичні зобов’язання, які означають, що вони повинні швидко видаляти його, як тільки дізнаються про нього.
Booking.com не підпадає під майбутні правила, що стосуються платної шахрайської реклами, і будь-які зміни в цьому питанні будуть справою Уряду.”
Що каже Booking.com?
Речник Booking.com заявив: “Цей обмежений тест не є справжнім відображенням досвіду мільйонів оголошень або відгуків, опублікованих на нашій платформі.
Нерухомість, додана Which?, не була видимою та “активною” протягом зазначеного періоду, і оскільки вона не була відкритою для бронювання, деякі з наших автоматичних контролів шахрайства не спрацювали для повного видалення закритого оголошення.
З інших прикладів, наданих Which?, не всі оголошення виявилися шахрайськими.
Ми можемо підтвердити, що використовуємо низку перевірок та заходів верифікації для захисту нашої платформи, поряд із технологіями, включаючи штучний інтелект.
Разом ці заходи допомагають нам виявляти та видаляти більшість шахрайських оголошень протягом 24 годин. Ми також маємо інструменти для забезпечення цілісності нашої програми відгуків.
“Шахрайство впливає на багато галузей, і 80% дорослих у Великій Британії вважають, що шахрайство стає все більш витонченим. Ми усвідомлюємо цей виклик і продовжуємо зміцнювати наш захист, допомагаючи захистити наших партнерів з розміщення та клієнтів.
Це включає інструменти, які обмежують посилання в повідомленнях між партнерами та гостями – які виявилися ефективними проти професійних шахраїв, що переходять на інші канали.
Є помітні нагадування не переходити за посиланнями, в яких клієнти не впевнені, а підтвердження бронювання також надають додаткові вказівки, включаючи деталі узгодженого графіка платежів.
Наш Центр допомоги пояснює, як клієнти можуть зв’язатися з нашою службою підтримки клієнтів, включаючи місцеві телефонні номери.”