Booking.com: Hacker kapern Hotels für perfide Betrugsmasche
Authentische Daten als trojanisches Pferd
Reiseportale als Waffe gegen Kunden: Eine raffinierte Phishing-Kampagne nutzt gekaperte Hotelaccounts auf Booking.com und Expedia, um ahnungslose Urlauber in die Falle zu locken. Das Perfide daran? Die Betrüger kennen echte Buchungsdaten und nutzen offizielle Kommunikationskanäle – pünktlich zur Reisesaison droht Millionen Menschen ein böses Erwachen.
Cybersicherheitsforscher schlagen Alarm: Seit April 2025 beobachten Experten von Sekoia.io eine großangelegte Angriffswelle, die gezielt die Vertrauensbasis zwischen Reisenden und Buchungsplattformen ausnutzt. Betroffen sind nicht die Plattformen selbst, sondern Hotels und Reisebüros, deren Zugänge von Kriminellen übernommen werden. Was folgt, ist ein ausgeklügeltes Täuschungsmanöver mit echter Buchungshistorie als Köder.
Die Angreifer verschaffen sich zunächst Zugang zu den Systemen von Hotels und Reiseagenturen. Mit diesen gekaperten Accounts kontaktieren sie dann Gäste mit bestätigten Reservierungen – inklusive Namen und Buchungsdetails. Die Nachrichten wirken absolut glaubwürdig, denn sie enthalten echte Informationen und erreichen die Opfer über die offiziellen Kommunikationskanäle der Buchungsportale.
Anzeige: Wenn Schadsoftware wie PureRAT über gefälschte Buchungsnachrichten auf Ihr Handy gelangt, genügt oft ein unbedachter Klick. Ein kostenloses Sicherheitspaket erklärt die 5 wichtigsten Schutzmaßnahmen für Android-Smartphones – von App‑Berechtigungen über Update‑Strategien bis zu sicheren Backup‑Routinen. So schützen Sie WhatsApp, Online‑Banking und persönliche Daten vor unbemerktem Diebstahl. Gratis-Sicherheitspaket für Android jetzt anfordern
Das eigentliche Ziel? Die Verbreitung von Banking-Phishing und die Installation des PureRAT-Trojaners. Diese Schadsoftware verschafft Kriminellen Fernzugriff auf infizierte Geräte und ermöglicht das Abgreifen von Finanzdaten, Zugangsinformationen und persönlichen Daten. Ein digitaler Generalschlüssel zu Ihrem digitalen Leben.
So schlagen die Betrüger zu
Der Angriff folgt einem mehrstufigen Muster, das bewusst Sicherheitsvorkehrungen umgeht. Reisende erhalten Nachrichten direkt über die Plattform oder per E-Mail, die täuschend echt aussehen. Häufig wird Druck aufgebaut: angebliche Zahlungsprobleme oder die dringende Bestätigung von Buchungsdetails.
Ein Klick genügt – und die Opfer werden durch eine Kette von Weiterleitungen auf gefälschte Verwaltungsportale gelockt. Besonders tückisch: die sogenannte “ClickFix”-Methode. Nutzer sollen ein vermeintliches CAPTCHA lösen, indem sie einen PowerShell-Befehl kopieren und ausführen. Was harmlos klingt, installiert in Wahrheit die Schadsoftware.
Parallel floriert ein schattiger Schwarzmarkt: Auf russischsprachigen Cybercrime-Foren werden gekaperte Booking.com- und Expedia-Accounts gehandelt. Die Preise reichen von wenigen Euro bis zu mehreren tausend für hochrangige Administrator-Zugänge. Ein lukratives Geschäft für die digitale Unterwelt.
KI befeuert die Betrugswelle zur Hochsaison
Diese Kampagne ist nur die Spitze des Eisbergs. Experten warnen vor einem dramatischen Anstieg reisebezogener Betrugsmaschen – maßgeblich angetrieben durch künstliche Intelligenz. Generative KI-Tools ermöglichen es Betrügern, überzeugendere Phishing-E-Mails zu verfassen, Bilder gefälschter Ferienunterkünfte zu manipulieren und sogar falsche Kundenbewertungen zu generieren.
In den USA konzentrieren sich KI-gestützte Buchungsbetrügereien vor allem auf Touristen-Hotspots wie Las Vegas, Miami und Florida. Das Timing könnte nicht ungünstiger sein: Die Ferienzeit naht, Verbraucher sind gestresst, suchen nach Schnäppchen – ideale Bedingungen für Kriminelle.
Diedra Porsché, nationale Leiterin für Community- und Geschäftsentwicklung bei JPMorganChase, warnte diese Woche eindringlich: Betrüger erstellen gefälschte Versionen legitimer Reisewebsites, um Anmeldedaten abzugreifen oder Schadsoftware zu verbreiten. In Großbritannien mehren sich parallel Fälle gefälschter West-End-Tickets und manipulierter QR-Codes auf öffentlichen Parkuhren.
Vertrauen als Währung – und als Waffe
Die Wirksamkeit dieser Angriffe beruht auf einem simplen, aber wirksamen Prinzip: der Ausbeutung etablierter Vertrauensstrukturen. Indem Kriminelle Hotelaccounts kompromittieren statt die zentrale Infrastruktur der Buchungsplattformen, können sie Nachrichten versenden, die durch echte Reservierungsdaten untermauert werden.
Nutzer gehen naturgemäß davon aus, dass Kommunikation über offizielle Kanäle legitim ist. Diese Annahme wird zum Verhängnis. Die Folgen reichen weit über einzelne Zahlungsverluste hinaus: Mit installierter Malware verschaffen sich Kriminelle langfristigen Zugang zu sensiblen Finanzdaten. Das Vertrauen in die Hotelbranche und digitale Buchungsplattformen erodiert zusehends.
So schützen Sie sich vor der digitalen Reisefalle
Wie können sich Reisende wappnen? Cybersicherheitsexperten und Finanzinstitute raten zu gesunder Skepsis bei jeder unaufgeforderten Kommunikation, die sofortige Zahlung oder persönliche Informationen verlangt – selbst wenn sie scheinbar von vertrauenswürdigen Quellen stammt.
Direkter Kontakt schlägt jeden Link: Erhalten Sie Nachrichten über angebliche Zahlungsprobleme, klicken Sie niemals auf enthaltene Links. Kontaktieren Sie Hotel oder Reiseanbieter stattdessen über Telefonnummern oder E-Mail-Adressen von deren offiziellen Websites.
Misstrauen Sie Druck: Zeitdruck ist das klassische Werkzeug von Betrügern. Wer Sie zu übereilten Entscheidungen drängt, verdient besondere Vorsicht.
URLs genau prüfen: Bevor Sie Anmelde- oder Zahlungsdaten eingeben, kontrollieren Sie die Website-Adresse akribisch. Fahren Sie mit der Maus über Links, um die tatsächliche Zieladresse zu sehen.
Sichere Zahlungsmethoden bevorzugen: Kreditkarten bieten deutlich stärkeren Betrugsschutz als Debitkarten oder Banküberweisungen. Zahlen Sie niemals auf private Konten.
Geräte absichern: Vermeiden Sie öffentliches WLAN für sensible Transaktionen. An öffentlichen Ladestationen nutzen Sie Steckdosen statt USB-Anschlüsse – letztere können für “Juice Jacking” und Malware-Installation missbraucht werden.
Falls Sie bereits Opfer wurden: Brechen Sie sofort jeden Kontakt ab, dokumentieren Sie alles, informieren Sie Ihre Bank und erstatten Sie Anzeige bei der Polizei.
Anzeige: PS: Wer sich jetzt effektiv gegen Click‑und-Phishing-Angriffe schützen möchte, sollte die 5 sofort umsetzbaren Maßnahmen für Android kennen. Der kostenlose Ratgeber erklärt Schritt für Schritt, wie Sie Apps, Berechtigungen und Updates richtig einstellen – ganz ohne teure Zusatzsoftware. Jetzt kostenlosen Android-Schutz downloaden
