Entenda como o golpe que faz você pagar em dobro pela reserva engana hóspedes com dados reais de reservas, explora credenciais de parceiros do Booking.com e já mira Airbnb, Expedia e Agoda
Uma campanha de phishing em larga escala que explora contas de parceiros do Booking.com está comprometendo sistemas de hotéis e dados de clientes, de acordo com um relatório da empresa de segurança Sekoia.io. Ativo desde pelo menos abril de 2025, o esquema levou vítimas a pagar duas vezes pela mesma hospedagem, primeiro ao hotel, depois ao criminoso, ao combinar roubo de credenciais e páginas falsas que imitam plataformas de reserva. O golpe que faz você pagar em dobro pela reserva usa engenharia social sofisticada e infraestrutura resiliente para enganar até usuários atentos.
Segundo a Sekoia.io, os operadores operam com alto grau de organização, atacando a cadeia do setor de hospitalidade em diferentes pontos, desde funcionários de hotéis e parceiros, até o contato direto com o hóspede. A investigação também aponta centenas de domínios maliciosos ativos por meses, o que indica uma campanha persistente e, possivelmente, bastante lucrativa.
Como o ataque começa e se espalha
Os pesquisadores identificaram que o ataque inicial parte de e-mails maliciosos enviados de contas legítimas de hotéis ou de mensagens que se passam pelo Booking.com. Cada comunicação inclui um link que leva a vítima por uma cadeia de redirecionamentos até uma etapa de engenharia social conhecida como ClickFix. Nessa fase, o alvo é induzido a executar um comando que, sem perceber, instala o malware PureRAT.
Com o PureRAT ativo, os invasores ganham controle remoto do dispositivo comprometido, podendo roubar credenciais, capturar telas, exfiltrar dados sensíveis e até ampliar funções via plugins. A Sekoia.io avalia que a primeira onda mirou funcionários de hotéis para obter logins de plataformas como Booking.com, Airbnb e Expedia. De posse dessas credenciais, os criminosos passaram a contatar hóspedes, por e-mail ou WhatsApp, alegando supostos problemas de verificação bancária.
Essas mensagens usam detalhes reais da reserva, o que aumenta a credibilidade do golpe, e redirecionam o usuário para páginas falsas do Booking.com desenhadas para coletar informações de pagamento. As páginas, segundo o relatório, foram hospedadas atrás de proteção da Cloudflare, com infraestrutura ligada à Rússia. Assim, o golpe que faz você pagar em dobro pela reserva fecha o ciclo, direcionando a cobrança criminosa enquanto a hospedagem continua válida no hotel.
Por que as vítimas acabam pagando duas vezes
A Sekoia.io documentou casos em que hóspedes caíram na fraude e, por confiar em mensagens que traziam dados verdadeiros da estadia, inseriram informações de pagamento em sites clonados. Em nota, os investigadores registraram: “Avaliamos com alto grau de certeza que o cliente vítima desse esquema fraudulento pagou duas vezes pela reserva: uma vez ao hotel e outra ao cibercriminoso,” escreveu a Sekoia.io.
Esse desfecho ocorre porque o pagamento legítimo ao hotel permanece, porém a vítima também efetua um segundo pagamento nas páginas falsas, acreditando tratar-se de uma etapa de validação exigida pela plataforma. A combinação de dados reais da reserva com domínios maliciosos e o uso de contas comprometidas de parceiros cria a ilusão de legitimidade e reduz a percepção de risco, ampliando o alcance do golpe que faz você pagar em dobro pela reserva.
Mercado de credenciais e dimensão financeira
O relatório da Sekoia.io também expõe um mercado ativo de credenciais do Booking.com em fóruns de língua russa. Esses acessos são vendidos como cookies de autenticação ou pares de login e senha, com valores que, segundo a investigação, variam entre US$ 5 (R$ 26,37, na conversão direta) e US$ 5 mil (R$ 26,3 mil), a depender do potencial da conta.
Há ainda relatos de lucro expressivo por parte de criminosos. Um usuário identificado como “moderator_booking” teriam alegado ter obtido mais de US$ 20 milhões (R$ 105,4 milhões) em ganhos, segundo o Infosecurity Magazine. Os investigadores observaram que a operação se expandiu para incluir contas da Agoda, sinalizando a profissionalização do crime cibernético voltado ao setor de hospitalidade.
A amplitude e a persistência também aparecem na infraestrutura técnica. Nas palavras do relatório: “A análise da infraestrutura do adversário revelou centenas de domínios maliciosos ativos por vários meses até outubro de 2025, demonstrando uma campanha resiliente e provavelmente lucrativa.” O uso de Cloudflare para proteger domínios falsos, somado à arquitetura modular do PureRAT, sugere uma operação com capacidade de adaptação e continuidade.
Para o usuário final, alguns sinais podem ajudar a evitar o prejuízo. Mensagens que pedem verificação bancária fora do app oficial da plataforma, links que redirecionam para domínios incomuns e solicitações de pagamento inesperadas são indícios de fraude. Em caso de dúvida, o recomendado é validar diretamente no aplicativo ou site oficial do serviço de reservas ou contatar o hotel pelo canal cadastrado na sua conta.
A Sekoia.io informou que continua monitorando a infraestrutura adversária e aprimorando detecções para proteger plataformas de reserva e clientes. Já sobre o posicionamento das empresas citadas, o Olhar Digital informou que pediu às empresas mencionadas, Booking.com, Expedia e Airbnb, e aguarda retorno. Enquanto isso, redobre a atenção, especialmente diante de contatos que citem “urgência” para atualização de cadastro ou validação de pagamento, um dos artifícios mais usados neste golpe que faz você pagar em dobro pela reserva.