Which? Travel deckt Sicherheitslücken bei Booking.com mit Fake-Anzeige auf

Which? Travel

Die britische Verbraucherschutzorganisation Which? hat mit einer Aktion die Sicherheitsvorkehrungen des Online-Reiseportals Booking.com kritisiert. Die Organisation schaltete eine Anzeige für das berühmteste Regierungsgebäude Großbritanniens, um die Betrugserkennung des Anbieters zu testen. Einer der führenden europäischen Verbraucherschutzverbände konnte die 10 Downing Street als Ferienunterkunft auf Booking.com einstellen und Zahlungen von Personen entgegennehmen, die unbedingt im Haus des britischen Premierministers übernachten wollten. Which? Travel erklärte, die Übung habe „offensichtliche Lücken“ in der Sicherheit des Online-Portals aufgedeckt, trotz dessen Behauptungen, es nutze fortschrittliche KI und mehrere Sicherheitskontrollen zur Bekämpfung betrügerischer Inserate. Das Magazin gab an, das gefälschte Inserat innerhalb von Minuten erstellt zu haben, und wies darauf hin, dass Gastgeber nach den Richtlinien von Booking.com erst drei Monate nach der Freischaltung eines Inserats ein Lichtbildausweis oder Eigentumsnachweis vorlegen müssen.”

Ein Forscher, der für das Magazin arbeitete, inserierte am 18. Juni eine Immobilie auf der Plattform unter der Überschrift „1-Zimmer-Apartment im Herzen von London“. Sie fügten die genaue Adresse und ein Foto der 10 Downing Street bei. Das Inserat war so eingestellt, dass Nutzer einen Aufenthalt anfragen mussten – sodass niemand automatisch buchen konnte, ohne genehmigt zu werden. Das Team von Which? Travel öffnete das Buchungsfenster kurzzeitig, um einem Vertreter die Durchführung einer Testbuchung zu ermöglichen. Während das Buchungsfenster geöffnet war, meldeten sich 14 Personen, um zu fragen, ob sie in der Downing Street übernachten könnten.”

Die britische Verbraucherschutzorganisation gab an, dass ihre Forscher in der Lage waren, einen Scheinaufenthalt an der Adresse des Premierministers zu buchen – sowie eine gefälschte Bewertung zu hinterlassen, in der das „Abhängenmit dem dortigen Kater Larry als Höhepunkt hervorgehoben wurde. Trotz eindeutiger Anzeichen dafür, dass es sich um eine Fälschung handelte, habe Booking.com das Inserat erst zwei Monate nach dessen Hochladen entfernt.

Vier Minuten bis zum Parlament und ein prominent besetzter Kater

Die Erstellung der betrügerischen Anzeige nahm laut den Angaben der Tester nur wenige Minuten in Anspruch. Unter der Überschrift 1 bedroom apartment in the heart of London wurde die Adresse des Premierministers zusammen mit einem Foto der bekannten Eingangstür hochgeladen. In der Beschreibung hieß es, die Unterkunft liege nur vier Minuten zu Fuß von den Houses of Parliament entfernt. Die Anzeige mit der Überschrift „1-Zimmer-Apartment im Herzen von London“ führte prominent „10 Downing Street, Londonneben einem Foto der berühmtesten Eingangstür Großbritanniens auf, wie es hieß. Es versprach nur vier Fußminuten zu den Houses of Parliament.”

Um die Echtheit des vermeintlichen Angebots weiter zu untermauern, veröffentlichte das Team am 10. August eine gefälschte Bewertung. Booking.com wickelte zudem eine Zahlung eines Which?-Forschers für einen einwöchigen Aufenthalt in der Downing Street ab, wobei das Magazin erklärte, das Geld sei immer noch nicht erstattet worden. Das Inserat wurde erst am 27. August entfernt, und die Verbraucherschutzorganisation hinterließ am 10. August zusätzlich eine gefälschte Bewertung, in der die 10 Downing Street als Immobilie mit 10 von 10 Punkten bewertet und als „außergewöhnliche“ Option für potenzielle Besucher deklariert wurde. Die Systeme von Booking.com gaben an, dass die Bewertung „von unserem Moderatorenteam überprüft“ würde, doch sie erschien fast sofort, obwohl sie ein Witz war und einen Hinweis darauf enthielt, wie angenehm es sei, mit „Kater Larry“ abzuhängen.”””

Booking.coms Sicherheitslücken in Frage gestellt

Vierzehn Anfragen und offene Zahlungen ohne Identitätsprüfung

Das Experiment zeigte, wie anfällig die Plattform für potenzielle Betrüger ist, da während eines nur 20-minütigen Testfensters direkt 14 Personen nachgefragt hatten, ob sie in der Downing Street übernachten könnten. Nutzer konnten das Inserat nur während eines von Which? geöffneten 20-minütigen Fensters sehen und einen Aufenthalt anfragen, damit die Forscher versuchen konnten, diesen zu buchen.

Erst am 27. August wurde das Inserat endgültig entfernt. Die Verbraucherschützer weisen darauf hin, dass die eigenen Richtlinien von Booking.com vorsehen, dass Vermieter erst drei Monate nach der Veröffentlichung Lichtbilder oder Eigentumsnachweise vorlegen müssen. In dieser Frist können Betrüger nach Ansicht der Organisation großen Schaden anrichten.

Kritik an angeblicher Künstlicher Intelligenz und fehlendem Schutz

Das Vorgehen verdeutlicht nach Ansicht der Prüfer eine besorgniserregende Lücke in den automatisierten Sicherheitssystemen des Konzerns. Das Portal von Which? analysierte im Detail, wie leicht sich das System umgehen ließ.

Which? Travel-Redakteur Rory Boland erklärte, wenn die sogenannten ausgeklügelten KI-Systeme von Booking.com nicht erkennen könnten, dass es sich bei der 10 Downing Street um keine Ferienunterkunft handelt, brauche man sich nicht zu wundern, dass Betrüger die Plattform so leicht ausnutzen könnten. Es wäre zum Lachen, dass sie die berühmteste Adresse Großbritanniens zur Vermietung hätten einstellen können, wenn die Folgen für Urlauber nicht so verheerend wären, da diese Gefahr liefen, Tausende von Pfund durch Scheinangebote und Phishing-Links zu verlieren.

Booking.com

Reaktion des Unternehmens und Verweis auf interne Kontrollen

Booking.com wies die Vorwürfe in einer Stellungnahme zurück und erklärte, dass der begrenzte Test nicht die reale Erfahrung von Millionen von Kunden widerspiegle. Ein Sprecher von Booking.com teilte der BBC mit, dass dieser begrenzte Test kein echtes Spiegelbild der Erfahrung von Millionen von Inseraten oder Bewertungen sei, die auf ihrer Plattform veröffentlicht würden. Sie erklärten, da das Inserat von Which? während der zwei Monate, in denen es vorhanden war, auf ihrer Website nicht „live“ gewesen sei, seien „einige unserer automatischen Betrugskontrollen nicht ausgelöst worden, um das geschlossene Inserat vollständig zu entfernen“.””

Der Sprecher von Booking.com fügte hinzu, dass eine Reihe von Prüfungen und Verifizierungsmaßnahmen zur Absicherung der Website beitragen und Technologien wie KI dazu beitragen, die Mehrheit der betrügerischen Inserate innerhalb von 24 Stunden zu erkennen und zu entfernen. Eine Sprecherin von Booking.com teilte gegenüber The Irish Times mit, dass die von Which? hinzugefügte Unterkunft während des genannten Zeitraums nicht „live“ oder für Kunden sichtbar gewesen und, da die Unterkunft geschlossen war, einige automatische Betrugskontrollen nicht ausgelöst worden seien. Sie fügte hinzu, dass Booking.com weiterhin die Schutzmaßnahmen für Unterkunftspartner und Kunden verstärke, da Betrugsmaschen immer ausgefeilter würden.”