Dávejte si pozor na falešné hotelové rezervace: Podvodníci na WhatsAppu mají vaše reálná data

Podvodníci letos na WhatsAppu rozesílají zprávy o hotelových rezervacích, které obsahují vaše jméno, termín pobytu i název ubytování. A žádají platbu.

Zdroj fotografie: Public Domain

Nejde o klasický spam s lámanou češtinou a obecným textem. Útočníci pracují s konkrétními údaji ze skutečných rezervací. Vědí, kam jedete, kdy máte přijet a na čí jméno je pobyt zarezervovaný. Zpráva se tváří jako komunikace od hotelu nebo přímo od Booking.com a obvykle vás tlačí k „nutnému potvrzení platby“ či „ověření karty“. Jinak prý hrozí zrušení pobytu.

Síla podvodu spočívá především v načasování: zpráva přijde ve chvíli, kdy člověk skutečně očekává pokyny před odjezdem. Belgická vládní kyberbezpečnostní platforma Safeonweb v červnu 2026 varovala před důmyslnými falešnými platebními požadavky, které využívají skutečné údaje o pobytu. Samotný Booking.com pak 5. června 2026 vydal oficiální upozornění na phishingové pokusy vedené přes WhatsApp.

Odkud mají podvodníci vaše údaje

Veřejně doložené jsou dvě cesty, které se často zaměňují. První a častější spočívá v převzetí účtu hotelu nebo penzionu na rezervační platformě. Jakmile se útočníci dostanou dovnitř, mohou získat přístup k údajům o hostech, například ke jménům, e-mailovým adresám, telefonním číslům a termínům pobytů. Britská organizace Action Fraud mezi červnem 2023 a zářím 2024 evidovala 532 oznámení tohoto typu podvodu, při nichž škody přesáhly v přepočtu 11 milionů korun.

Druhá cesta se dostala do popředí v roce 2026. V dubnu Safeonweb shrnul varování Booking.com před možným neoprávněným přístupem k části rezervačních údajů uživatelů. Mezi potenciálně dotčené informace patřily jméno, e-mailová adresa, telefonní číslo, podrobnosti o rezervaci a údaje sdílené s ubytovacím zařízením. Platforma po zjištění incidentu změnila PIN kódy dotčených rezervací a informovala zasažené zákazníky. Podle tohoto varování nebyly přístupné údaje o platebních kartách ani další platební informace.

To je důležitý detail: „skutečná data“ v tomto případě nemusí zahrnovat platební kartu. Útočníkům ale mohou poskytnout dost informací na to, aby zpráva na WhatsAppu působila naprosto věrohodně.

Proč zrovna WhatsApp

Český telekomunikační úřad v monitorovací zprávě 1/2026 upozorňuje, že podvodníci stále častěji přesouvají komunikaci z SMS do aplikací, jako je WhatsApp. Důvod je prostý: WhatsApp působí jako osobní komunikační kanál a lidé v něm mohou reagovat impulzivněji než na e-mail. Kdokoli, kdo zná vaše telefonní číslo, vám může napsat, aniž by tím byla ověřena jeho totožnost.

Pro útočníka je to ideální kombinace. Z rezervačních údajů získá vaše číslo, následně vám napíše jménem hotelu, uvede správný termín pobytu a požádá o „potvrzení platby“. Zpráva přitom dorazí v prostředí, které lidé běžně používají ke komunikaci s přáteli a rodinou.

NÚKIB tento typ útoku řadí mezi takzvaný spear phishing, tedy cílené podvody přizpůsobené konkrétní oběti na základě dostupných osobních údajů. Právě díky těmto detailům mohou být výrazně účinnější než hromadné phishingové zprávy s obecným textem.

Ministerstvo pro místní rozvoj v roce 2026 rovněž varovalo před podvody s ubytováním na velkých rezervačních portálech včetně Bookingu a upozornilo na přesouvání komunikace na WhatsApp.

Jak podvod rozpoznat

Základní pravidlo zní: jakákoli nečekaná změna platebních podmínek nebo výzva k „nutnému potvrzení rezervace“ mimo původní rezervační proces by vás měla varovat. Pozor si dejte zejména na tyto signály:

• Tlak na okamžitou platbu a hrozba zrušení pobytu
• Odkaz, který nevede na oficiální doménu Booking.com
• Žádost o údaje z platební karty přímo v chatu
• Platební podmínky, které neodpovídají původnímu potvrzení rezervace
• Zpráva z neznámého čísla, jehož odesílatel se vydává za zástupce hotelu

Největší riziko nepředstavuje jen podezřelá zpráva od neznámého čísla. Mnohem nebezpečnější je věrohodná výzva, která přijde přesně ve chvíli, kdy podobnou komunikaci ohledně cesty skutečně očekáváte.

Co dělat, když vám taková zpráva přijde, a co když jste už zaplatili

Pokud podobnou zprávu dostanete, neklikejte na odkazy, neodpovídejte a nic neplaťte. Otevřete Booking.com ručně prostřednictvím aplikace nebo zadáním adresy do prohlížeče a zkontrolujte stav rezervace přímo tam. Případně zavolejte do hotelu na číslo uvedené v původním potvrzení. Nepoužívejte kontaktní údaje z podezřelé zprávy. Ve WhatsAppu zprávu nahlaste a odesílatele zablokujte.

Pokud jste na odkaz klikli, ale žádné údaje nezadali, stránku zavřete. Jestli jste na ní zadali heslo, změňte ho a případně i hesla k dalším účtům, kde používáte stejné přihlašovací údaje. Zkontrolujte také zařízení, zda nevykazuje známky napadení.

Pokud jste zadali údaje z platební karty nebo odeslali peníze, jednejte rychle:

1. Okamžitě kontaktujte banku, nechte zablokovat kartu a ověřte, zda lze zastavit případné platby.
2. Uložte snímky obrazovky zpráv a komunikace jako důkazy.
3. Přerušte veškerý kontakt s podvodníkem.
4. Oznamte případ Policii ČR. V naléhavých případech volejte linku 158.

České úřady konkrétní počet obětí tohoto typu podvodu za první polovinu roku 2026 nezveřejnily. Čeští cestovatelé s aktivní rezervací na Booking.com a uvedeným telefonním číslem ale čelí stejnému riziku jako uživatelé v dalších evropských zemích.

Před odjezdem na dovolenou si uložte původní potvrzení rezervace včetně platebních podmínek. Pokud vám později přijde požadavek, který se od nich liší, ověřte si ho přímo u ubytování nebo přes oficiální zákaznickou podporu Booking.com. Neplaťte jen proto, že zpráva působí naléhavě a obsahuje správné údaje o vašem pobytu.