釣魚警報 - 提防利用疑似外洩預訂資料的 Booking.com 釣魚訊息
類別: 網絡釣魚
網絡釣魚警告
現況及相關趨勢
HKCERT 提醒市民，小心假冒 Booking.com 及酒店預訂通知的釣魚攻擊。有騙徒利用Booking.com早前流出的真實訂房資料，冒充 Booking.com 平台或酒店向旅客發送電郵及WhatsApp訊息，聲稱預訂出現異常、付款授權失敗，或要求用戶於指定時間內更新付款資料，否則將取消預訂，藉此誘使用戶點擊可疑連結及提交個人資料、帳戶憑證或信用卡資料。
根據公開資訊，Booking.com 早前曾出現涉及部分預訂資料被未授權存取的保安事件，受影響資料可能包括住客姓名、電郵地址、電話號碼，以及與住宿提供者之間的通訊內容。海外亦有報道指出，有騙徒利用流出的真實訂房資料，針對日本旅客發送假冒 Booking.com 或酒店的訊息，以進一步進行釣魚詐騙。
由於 Booking.com 為本港市民常用的網上旅遊預訂平台之一，香港用戶亦可能面對相同風險。市民如曾透過相關平台預訂酒店、住宿或其他旅遊服務，應提高警覺，慎防受騙。騙徒可能在訊息中附上可疑連結，將用戶導向偽冒的登入、付款或驗證頁面，要求輸入帳戶密碼、信用卡資料、一次性密碼或其他敏感資料。
騙徒亦可能透過 WhatsApp 或其他即時通訊平台進一步聯絡受害人，要求重新驗證付款資料或完成所謂預訂確認程序。相關訊息常以訂房資料未齊全為由，誘使用戶點擊可疑連結補交資料，其中更會夾附用戶的真實入住日期、住客全名等資料，以提高可信性。
最近 HKCERT 亦有處理涉及 Booking.com 及 Klook 等網上旅遊預訂平台的釣魚個案。個案顯示，騙徒會針對與旅遊預訂相關的平台，設立釣魚網站誘使用戶提交帳戶資料或付款資訊。
以下為相關個案中的釣魚網站頁面：
圖：假冒 Booking.com 的釣魚網站，聲稱用戶需輸入信用卡資料以進行預訂。
圖：假冒網上旅遊預訂平台的釣魚網站頁面。
圖：假冒網上旅遊預訂平台付款驗證頁面的釣魚網站。
HKCERT 呼籲市民，不應單憑訊息中載有自己的姓名、酒店名稱、預訂資料或行程內容，便判斷其為真確。任何涉及帳戶、付款或預訂異常的通知，均應透過官方渠道核實，以保障個人及財務安全。
對公眾的安全建議
HKCERT 提醒市民：
- 仔細核對發件人電郵地址及網站完整網址，不應只憑顯示名稱判斷真偽；
- 如收到與預訂、付款或帳戶安全有關的通知，應直接透過官方 App 或手動輸入官方網址查閱；
- 切勿點擊來歷不明或未經核實訊息中的連結；
- 切勿於可疑網站輸入帳戶密碼、信用卡資料、一次性密碼或其他敏感資料；
- 如有懷疑，應透過官方網站、App 或酒店已公開的聯絡方式自行核實；
- 建議使用強度高的密碼，並啟用多重認證，以加強帳戶保護；
- 定期檢查銀行戶口及信用卡交易紀錄，留意是否出現異常活動。
如曾提交資料，應立即採取以下行動
如市民懷疑曾於可疑網站輸入個人資料、帳戶憑證或信用卡資料，應盡快採取以下措施：
- 立即停止與對方聯絡，切勿再提供任何個人、帳戶或財務資料；
- 立即更改相關平台帳戶密碼，以及其他使用相同或相似密碼的帳戶密碼；
- 立即聯絡相關銀行或信用卡發卡機構，通報事件並要求採取適當保護措施；
- 密切留意銀行戶口及信用卡交易紀錄，檢查是否出現未經授權交易；
- 保留相關紀錄，包括可疑電郵、訊息截圖、網址、網站畫面及交易紀錄，以便日後跟進或報案之用。
企業或公眾如欲向 HKCERT 報告與資訊保安相關的事故，可以填寫網上表格：https://www.hkcert.org/zh/incident-reporting 或致電24小時熱線電話：（852）8105 6060。如有其他疑問，歡迎發電郵至 [email protected] 與 HKCERT 聯絡。
分享至