Recepční neměla šanci poznat podvod

Klasické phishingové školení učí hledat podezřelou doménu nebo přílohu. Tady to nefunguje. Útočníci poslali zprávu přes legitimní infrastrukturní služby Calendly a rozesílací platformu SendGrid. E-mail proto bez problémů prošel všemi standardními kontrolami (SPF, DKIM i DMARC). Zobrazené jméno odesílatele znělo „Booking Manager (via Calendly)“, předmět byl obecný, naléhavý a bez jména konkrétního hotelu či hosta. Přesně takový typ zpráv recepce řeší denně desítky: stížnosti, dotazy na rezervace, urgentní provozní hlášení.

Odkaz v e-mailu vedl po přesměrování přes Google na stažení ZIP archivu. Uvnitř čekal soubor s dvojitou příponou, například PHOTO-123456.png.lnk. Kdo nemá ve Windows zapnuté zobrazování přípon, vidí jen PHOTO-123456.png. Normální fotka. Žádný alarm.

Od „fotky“ k úplnému ovládnutí stanice

Po otevření souboru LNK se spustil PowerShell, který stáhl další skript. Ten z oficiálního webu nodejs.org stáhl legitimní běhové prostředí Node.js a přes něj nasadil implantát TonRAT. Malware si okamžitě zajistil dvojí perzistenci, zapsal se do registru Windows jak do klíče HKCU\Run, tak do HKCU\RunOnce. Navíc si přidal výjimky v programu Defender, aby ho antivirová ochrana ignorovala.

Podle analýzy ITOCHU Cyber ​​& Intelligence komunikuje TonRAT se svým řídicím serverem přes blockchainovou síť TON. Aktuální adresu řídicího serveru si vytahuje z konkrétního TON účtu přes veřejné API. Útočník může kdykoli změnit cílovou doménu pouhou úpravou hodnoty v blockchainu, aniž by bylo nutné aktualizovat samotný malware. Zablokovat jednu doménu proto nestačí.

Na jednom potvrzeně napadeném zařízení Defender sice zachytil a zablokoval jeden škodlivý soubor, ale druhá větev perzistence přes Node.js přežila. Přibližně o dva dny později se infekce obnovila. Jedno smazání nestačilo.

Co přesně bylo ohroženo, a co zatím víme

Důležité je oddělit potvrzené odhalené skutečnosti od spekulací. Microsoft potvrdil průnik na recepční stanici, technický řetězec útoku a schopnost malwaru stahovat další nástroje. Veřejně ale nepotvrdil konkrétní odcizení platebních dat ani exfiltraci osobních údajů hostů v rámci této kampaně.

Jenže recepční počítač je přesně to místo, kudy protékají jména, e-maily, telefonní čísla a detaily rezervací, a kde se pracuje s platebním terminálem nebo rezervačním systémem. Pro srovnání, letošní incidenty v hotelnictví ukazují, co bývá v ohrožení:

• Booking.com (duben 2026) přiznal únik jmen, e-mailů, telefonů a detailů rezervací.
• BWH Hotels (květen 2026) oznámil šestiměsíční přístup k rezervačním údajům, platební data ale zasažena nebyla.

Kampaň je podle Microsoftu stále aktivní. Rozlišuje dvě vlny: první běžela od dubna do května, druhá od konce května do června 2026 a přidala nové domény i mezikrok s dynamickou kompilací .NET knihovny.

Český kontext: marker „recepce“ v datech Microsoftu

Microsoft ve zprávě uvádí, že mezi zasaženými účty a stanicemi identifikoval názvy reception, frontdesk, reservations a také české slovo recepce. Konkrétní český hotel veřejně nejmenoval, ale přítomnost českého označení ukazuje, že kampaň buď přímo cílila na české prostředí, nebo zasáhla česky pojmenované účty. Kdo za útoky stojí, zatím nikdo oficiálně nepotvrdil. ITOCHU analyticky spojuje část infrastruktury se starší vlnou útoků zneužívajících značku Booking.com, ale jde o analytickou vazbu, ne o oficiální atribuci.

Co dělat jako host, a co jako hotel

Pokud jste v posledních měsících platili kartou na recepci hotelu a nevidíte podezřelé transakce, není důvod k panice. Rozumná opatření ale stojí za pár minut:

• Zapněte si oznámení o každé transakci na kartě.
• Zkontrolujte výpisy za poslední tři měsíce.
• Snižte online i offline limity na rozumné minimum.
• Při jakémkoli podezřelém požadavku na „ověření karty“ nebo „doplatek“ přes odkaz neklikejte, hotel si ověřte jiným kanálem.
• Při podezření kartu dočasně zamkněte nebo zablokujte a vyžádejte si novou.

Pro hotely jedno jednoduché nastavení, které se výrazně osvědčilo: zapnout ve Windows zobrazení přípon souborů (Průzkumník → Zobrazit → Přípony názvů souborů). Soubor PHOTO-123456.png.lnk by se pak tvářil přesně tak, jak je – jako spustitelná zkratka, ne jako fotka.

Útok nebyl dílem nepozornosti jedné zaměstnankyně. Byl navržen přesně pro rytmus práce recepce, která pod časovým tlakem otevírá desítky zpráv od hostů denně. A právě proto fungoval.

Podvodníci zneužívají zaměstnance hotelů

Celý řetězec začíná u hotelového personálu. Microsoft ve své analýze kampaně označené jako Storm-1865 popsal, jak útočníci rozesílají zaměstnancům hotelů a cestovních agentur e-maily, které se tváří jako oficiální komunikace od Booking.com. Obsah bývá různý – falešná stížnost hosta, výzva k ověření účtu nebo upozornění na bezpečnostní aktualizaci. Po kliknutí následuje buď falešná přihlašovací stránka, nebo instalace malwaru, který z počítače odcizí přihlašovací údaje.

CERT Polska navíc analyzoval malware šířený prostřednictvím podvržené stránky s aktualizací aplikace Booking Pulse, kterou hoteliéři běžně používají. Jakmile útočníci získají přihlašovací údaje, dostanou se do partnerského panelu hotelu. Od té chvíle vidí všechny aktivní rezervace – jména hostů, termíny pobytů, částky i kontaktní údaje. A mohou hostům psát přímo z účtu hotelu.

Booking.com situaci nepodceňuje. Partnerům doporučuje zapnout dvoufaktorové ověření právě pro případ, že unikne uživatelské jméno a heslo. Pokud ale hotel dvoufaktorové ověření nepoužívá, útočník se může do účtu přihlásit bez dalších překážek.

Zpráva vypadá věrohodně

Klasický phishing často poznáte podle podezřelé adresy odesílatele nebo kostrbatého jazyka. Tady nic z toho nefunguje. Zpráva přichází z kompromitovaného účtu skutečného hotelu, v navázané konverzaci k vaší rezervaci, a obsahuje přesvědčivé detaily – název ubytování, termín pobytu i cenu. NASK uvádí, že podvodná zpráva může obsahovat dokonce i podpis hotelu.

Situaci navíc zkomplikoval dubnový bezpečnostní incident. Booking.com v dubnu 2026 potvrdil neoprávněný přístup k části rezervačních údajů, včetně informací o pobytech a komunikaci s ubytováním. Společnost následně resetovala dotčené přístupové údaje a informovala postižené uživatele. Útočníci tak mohou kombinovat dva zdroje – převzaté hotelové účty a uniklá data o rezervacích. Výsledkem je zpráva, kterou běžný host prakticky nemá šanci odlišit od legitimní komunikace, pokud neví, na co si dát pozor.

Právě načasování dělá tento podvod tak účinným. Zpráva přijde ve chvíli, kdy cestovatel komunikaci od hotelu skutečně očekává – několik dní před příjezdem, kdy dávají poslední instrukce před ubytováním smysl.

Pět znaků, podle kterých podvod poznáte

Samotný komunikační kanál už není důkazem pravosti, bohužel. Existuje ale několik varovných signálů:

• Časový nátlak. Zpráva tvrdí, že bez okamžité platby bude rezervace zrušena. Legitimní hotel obvykle poskytne dostatek času.
• Požadavek neodpovídá rezervaci. Porovnejte žádost o doplatek s platebními podmínkami v potvrzení rezervace. Pokud jste už zaplatili a najednou máte znovu „doplatit“, něco není v pořádku.
• Odkaz vede mimo Booking.com. Zkontrolujte doménu odkazu. Legitimní platby probíhají prostřednictvím Booking.com, nikoliv přes zkrácené URL nebo neznámé weby.
• Požadavek na zaslání údajů o kartě přes telefon, SMS nebo e-mail. Booking.com uvádí, že legitimní transakce nikdy nevyžadují sdělení platebních údajů těmito kanály.
• Komunikace se přesouvá jinam. Pokud vás „hotel“ přesměrovává na WhatsApp, SMS nebo externí platební aplikaci, jde téměř jistě o podvod.

Důležité pravidlo: při jakýchkoli pochybnostech nikdy neklikejte na odkaz ve zprávě. Otevřete si rezervaci přímo v aplikaci nebo na webu Booking.com a ověřte, zda se stejný požadavek zobrazuje i tam. Případně kontaktujte hotel prostřednictvím oficiálního telefonního čísla uvedeného v rezervaci.

Co dělat, když už jste zaplatili

Pokud jste údaje zadali nebo peníze odeslali, jednejte rychle. Prvním krokem je okamžitě kontaktovat banku, požádat o zablokování platební karty a zahájení procesu chargeback. Evropská komise doporučuje nejprve kontaktovat banku, poté platformu a nakonec policii.

Booking.com při řešení podvodných plateb obvykle požaduje výpis z banky, číslo rezervace a PIN rezervace. Pokud platbu zpracovával přímo Booking.com, může společnost peníze vrátit sama. Pokud platbu zpracovávalo ubytovací zařízení, Booking.com se podle svých pravidel pokusí situaci řešit s poskytovatelem ubytování, automatický nárok na vrácení peněz však z veřejně dostupných podmínek nevyplývá.

Pozice oběti je výrazně slabší zejména tehdy, pokud peníze odešly mimo platformu. Booking.com ve svém průvodci podvody u rekreačních pronájmů přímo uvádí, že platby bankovním převodem, v hotovosti nebo prostřednictvím externích platebních aplikací mají minimální nebo žádnou ochranu. Platba kartou přes oficiální platební bránu alespoň dává šanci na úspěšný chargeback.

Týká se to i českých cestovatelů?

Ve veřejných výstupech NÚKIB ani CSIRT.CZ jsme k 29. 6. 2026 nenašli samostatné varování zaměřené přímo na podvody přes Booking.com. To ale neznamená, že české úřady problém nesledují. NÚKIB dlouhodobě upozorňuje na phishing a smishing a pravidelně zveřejňuje přehledy kybernetických incidentů. Veřejně potvrzený český případ z této konkrétní vlny se nám nepodařilo dohledat.

Riziko je ale pro české cestovatele stejně reálné jako pro polské nebo britské. Booking.com patří mezi nejpoužívanější rezervační platformy v Česku a mechanismus útoku není závislý na národnosti hosta ani hotelu. Stačí aktivní rezervace a ubytování, jehož účet útočníci převzali. Pro představu – britský Action Fraud evidoval mezi červnem 2023 a zářím 2024 celkem 532 oznámení podobných rezervačních podvodů se škodou přes 11 milionů korun.

Booking.com zůstává bezpečnou a běžně používanou platformou. Problém není v tom, že by ji nešlo bezpečně používat, ale v tom, že samotná zpráva od hotelu už není automatickým důkazem, že skutečně píše hotel. Jedinou spolehlivou obranou je porovnat každou žádost o platbu s podmínkami uvedenými v rezervaci a nikdy neplatit prostřednictvím odkazu, který jste si sami neověřili.

Jedna cena? Spíš pět různých

Booking nepracuje s jednou cenou za pokoj. V dokumentaci pro partnery existují samostatné cenové koše: app_only pro mobilní aplikaci, mobile_web pro mobilní web a klasická desktopová sazba. Ubytovatel může pro každý kanál nastavit jinou částku, a často to dělá, protože Booking ho k tomu motivuje lepší viditelností v aplikaci.

K tomu přibývají další vrstvy:

• Geo/country rates – cena se může lišit podle země, ze které hledáte.
• Genius slevy – 10 % a více, ale jen pro přihlášené uživatele s Genius účtem a jen u vybraných pobytů.
• Closed user group rates – speciální sazby pro ověřené skupiny uživatelů, které nepřihlášený návštěvník vůbec neuvidí.

Výsledek? Otevřete stejný hotel ve stejném termínu na čtyřech zařízeních a můžete dostat čtyři různé ceny. Žádná z nich není „chybná“. Všechny jsou záměrné.

Sleva, která zmizí při placení

Genius sleva vypadá na první pohled jednoznačně, 10 nebo 15 procent dolů. Jenže se aplikuje na cenu bez daní a místních poplatků. Ty se připočítají až v posledním kroku rezervace. Kdo porovnává jen zvýrazněnou „slevu“ na kartě hotelu a neklikne až na finální checkout, srovnává jablka s hruškami.

Další past: zobrazený kurz v korunách je podle Bookingu jen informativní. Skutečná fakturační měna může být jiná a konečná částka na výpisu z karty se od té zobrazené liší. U zahraničních pobytů to může znamenat rozdíl v řádu stokorun.

A pak je tu pořadí výsledků. Booking na stránce How we work přiznává, že řazení ovlivňuje nejen relevance a cena, ale i výše provize, zapojení do programu Genius, reklama a v některých případech personalizace podle předchozího chování. Co vyskočí nahoře, nemusí být to nejvýhodnější. Je to to, co se Bookingu nejvíc vyplatí zobrazit.

Evropa už zasáhla, ale problém trvá

Nejde o izolovaný dojem frustrovaných cestovatelů. Evropská komise v roce 2020 donutila Booking.com i skupinu Expedia upravit zobrazování cen, slev a takzvaných tvrzení o nedostatku typu „zbývá poslední pokoj!“. Změny se týkaly webů i mobilních aplikací a zahrnovaly povinnost zobrazovat celkovou cenu včetně všech nevyhnutelných poplatků a přesněji označovat, z čeho se sleva počítá.

Přesto základní architektura zůstává: cenová segmentace podle platformy, země a typu účtu je legitimní obchodní nástroj a Booking ji nadále aktivně používá. Regulátor vyčistil nejkřiklavější triky, ale samotný princip „různá cena pro různého uživatele“ nezakázal.

Booking není jediný, ale je nejsofistikovanější

Hotels.com nabízí „Member Prices“ jen pro přihlášené členy programu One Key a uživatele aplikace. Airbnb sice nemá věrnostní slevy, ale hostitel může poslat speciální nabídku s odlišnou cenou a v některých zemích se daně zobrazí až při potvrzení rezervace. Cenová segmentace je průmyslový standard, ne výjimka jedné platformy.

Na druhé straně stojí přímé weby hotelů. Řetězce jako Marriott oficiálně garantují dorovnání nižší veřejné ceny a k tomu nabízejí členské sazby dostupné jen při přímé rezervaci. Někdy vyhraje Booking přes mobilní nebo Genius sazbu, jindy přímý web hotelu, a bez porovnání obou variant to nezjistíte.

Jak se bránit: kontrolní seznam před každou rezervací

Nejdražší chyba není vybrat špatný hotel. Je to porovnat jen jednu verzi téže rezervace. Praktický postup, který zabere pět minut navíc:

• Otevřete stejný pobyt na desktopu i v aplikaci.
• Zkuste hledání odhlášení i přihlášení (ideálně s Genius účtem).
• Proklikněte se až na finální checkout; teprve tam uvidíte skutečnou cenu s daněmi a poplatky.
• Ověřte stejný pokoj a stejné storno podmínky na přímém webu hotelu.
• U cizoměnové rezervace sledujte fakturační měnu, ne přepočet v rozhraní.
• Udělejte screenshot finální nabídky včetně popisu vybavení; popisy dodává ubytovatel a Booking je nemusí aktualizovat okamžitě.

Booking zůstává výborný srovnávač s obrovským inventářem a užitečnými recenzemi. Jen ho nepoužívejte jako jediný zdroj pravdy o ceně, protože on sám vám jich nabízí hned několik.

Jak útok funguje: od hotelu k vašemu účtu

Celý podvod začíná paradoxně daleko od cestujícího, u recepčního, manažera nebo kohokoliv, kdo má přístup do partnerského panelu Booking.com. Microsoft v březnu 2025 napsal kampaň skupiny Storm-1865, která cílila právě na zaměstnance hotelů. Přišel jim e-mail tvářící se jako dotaz hosta nebo zpráva od Bookingu, uvnitř odkazu vedoucí ke stažení malwaru. získal získal získané údaje a cookies, převzal partnerský účet hotelu.

Od té chvíle mohl psát hosty přímo přes oficiální komunikační platformy. Zprávy obsahovaly reálné údaje o rezervaci, protože útočník je viděl v systému. Bezpečnostní firma Sekoia v listopadu 2025 zdokumentovala , že kompromitované účty a přístupové logy se prodávají na kyberkriminálních fórech za jednotky až tisíce dolarů. Nejde o nahodilý podvod jednoho šikovného hackera. Je to průmyslově obchodovaný model s vlastním trhem.

Proč to lidé neprohlížejí

Klasický phishing má slabinu: chybí mu kontext. Přijde e-mail od „banky“, kde nemáte účet, nebo nabídka probíhá, který jste si neobjednali. Bookingový podvod tuhle slabinu nemá. Zpráva přijde ve správném vlákně, od správného hotelu, s přesnou cenou a datem. Oběť neřeší, jestli je zpráva pravá, řeší, jak zachránit dovolenou.

Tlak na čas je druhý pilíř. „Dokončete ověření do 24 hodin, jinak bude rezervace zrušena.“ Kdo má letenky a volno v práci, nekontroluje URL adresu. Klikněte, vyplníte, potvrdíte. Někdy podvodníci eskalují: po první chtějí druhou, případně bankovní převod. A protože komunikace probíhá v důvěryhodném prostředí, oběť si říká, že jde o technický problém na straně hotelu.

V dubnu 2026 Booking.com rozeslal části zákazníků upozornění, že neoprávněné strany mohly získat údaje o rezervacích, jména, e-maily, adresy, telefony. Finanční data podle firmy unikla nebyla. Jenže právě rezervační údaje stačí k tomu, aby phishingová zpráva vypadala naprosto věrohodně.

Český kontext: nejde jen o Austrálii

Deník N v květnu 2026 popsal případ skupiny z Prahy, která řešila případ podezřelou rezervaci v Londýně: zpráva přišla přes Booking.com a obsahovala opakované zadání karty. Český CSIRT přitom varoval před podvodnými zprávami spojenými s Bookingem už v roce 2015, tehdy šlo o malware v příloze falešného potvrzení. Aktuální vlna je sofistikovanější, ale princip zneužití důvěry ve známé značce zůstává stejný.

Veřejná česká statistika čistě pro podvody na Booking.com neexistuje. Přesto je zřejmé, že tento problém českých uživatelů se týká, jako letní sezóna 2026 a miliony rezerv se riziko zvyšuje.

Podle čeho podvodu známé

Rozhodující je jeden jednoduchý test: sedíte s tím, co jste odsouhlasili při rezervaci? Pokud jste platili kartou a nikdo po vás nic dalšího nechtěl, jakýkoli následný požadavek na „ověření karty“ je červená vlajka. Booking.com na svém bezpečnostním webu uvádí, že žádná legitimní sdělení sdělení karetních údajů o telefonu, textu nebo e-mailu.

Konkrétní varovné signály:

• Tlak na čas – „do 24 hodin“, „okamžitě“, „jinak zrušíme rezervaci“
• Odkaz mimo Booking.com – URL, které po rozkliknutí nevede na booking.com
• Požadavek na kartu přes e-mail, SMS nebo WhatsApp
• Bankovní převod místo standardní platby kartou
• Soubor ke stažení v příloze zprávy

Přechod na jinou platformu sám o sobě nic neřeší. Airbnb varuje před komunikacemi a platbami mimo svůj systém, Expedia před falešnými kontakty a bankovními převody. Sekoia navíc doložila, že stejně útočníci cílili i na Expedia, Airbnb a Agodu. Klíčové není, kde rezervujete, ale jestli rozpoznáte okamžik, kdy se komunikace odchýlí od původně potvrzeného platebního režimu.

Co dělat, když jste kartu už zadali

Pokud jste údaje vyplnili, počítá se každá minuta. Česká národní banka doporučuje jako první krok bez odkladu kontaktovat banku a zablokovat kartu i další platební prostředky. Teprve potom řešit Booking.com přes oficiální zákaznickou linku a podat oznámení na Policii ČR. Uložte si screenshoty komunikace a odkazu, budete potřebovat.

Vrácení peněz není automatické. ČNB poskytne, že pokud klient sám potvrdil platbu přes vícefaktorové ověření nebo 3D Secure, může unést ztrátu v plném rozsahu. Robyn z Queenslandu peníze nakonec dostala zpět, ale to byl konkrétní výsledek její banky, ne obecné pravidlo.

Nejúčinnější obrana proti tomuto typu podvodu není technická gramotnost ani antivirový program. Je to návyk: kdykoli vás kdokoliv požádat o platební kartu mimo okamžik, kdy jste sami iniciovali platbu, zavřete zprávu a nebo si třeba situaci jinou cestou.

Čtyři scénáře, jak ubytování „zmizí“

Falešný inzerát s ukradenými fotkami existuje pořád, ale je to jen jeden díl skládačky. Současné podvody mají čtyři hlavní podoby:

• Kompletně vymyšlený výpis. Profesionálně vypadající inzerát s fotkami staženými z jiných nabídek nebo vygenerovaných umělou inteligencí. Adresa existuje, ale nemovitost k pronájmu ne.
• „Unesený“ reálný inzerát. Podvodník získá přístup k účtu skutečného hostitele nebo hotelu, změní platební instrukce nebo kontaktní údaje. Cestovatel komunikuje s někým, kdo se jen tváří jako legitimní provozovatel.
• Mrtvá nabídka, která zůstala aktivní. Ubytování bylo zavřeno, prodáno nebo změnilo majitele, ale inzerát na platformě nikdo nezrušil. Peníze odejdou, klíče nedorazí.
• Podvodná zpráva navázaná na skutečnou rezervaci. Tady je posun nejtěžší rozpoznat. Cestovatel si řádně zarezervuje reálný hotel a pak mu přijde zpráva, někdy i přes oficiálně vypadající kanál, s žádostí o „ověření karty“, doplatek nebo přesměrování check-inu. Zpráva obsahuje jeho jméno, termín pobytu, správný název hotelu. Vypadá legitimně. Není.

Booking.com sám 9. května 2026 na své tiskové stránce varoval před podezřelými zprávami, které vydávají za hotel, zákaznickou podporu nebo zaměstnance platformy a šíří se přes WhatsApp. To je přímé potvrzení, že platforma na aktuální vlnu reaguje v reálném čase.

Proč to prochází i na velkých platformách

Otázka, kterou si klade každý: jak je možné, že Booking.com s miliony nabídek nebo Airbnb s propracovaným systémem recenzí tohle nezachytí dřív? Odpověď je nepříjemně prostá – ani jedna platforma neověřuje všechno.

Booking.com ve svých podmínkách uvádí, že poskytuje platformu, nikoli samotný „travel experience“, a za ubytování odpovídá poskytovatel. Český dTest už v roce 2024 upozornil, že Booking.com neověřuje nabídku nabízeného ubytování a odstraňování pochybných nabídek bývá pomalé. Airbnb je na tom v tomto ohledu lépe – ověřil lokaci u 1,5 milionu inzerátů –, ale sám přiznává, že tím automaticky neověřuje další detaily inzerátu ani vybavení.

A pak je tu druhý problém: část útoků vůbec nevzniká jako nový falešný inzerát. Když podvodník kompromituje účet reálného partnera, pro platformu i hosta dlouho vypadá naprosto legitimně. Britský spotřebitelský magazín Které? popsal, že na Booking.com šlo nový inzerát vytvořit za 15 minut a že podvody přicházely přímo přes interní zprávy.

Jak podvod poznat ještě před odjezdem

Dobrá zpráva: většinu falešných nabídek lze odhalit ještě u počítače. Stačí pět minut navíc.

• Adresa do mapy. Zadejte přesnou adresu do Google Maps nebo Mapy.cz a přepněte na Street View. Nesedí fasáda? Není tam obytný dům? Nepokračujte.
• Reverzní vyhledání fotek. Klikněte pravým tlačítkem na hlavní fotku a vložte „Vyhledat obrázek“. Pokud se stejné snímky objeví pod jiným názvem v jiném městě, je to podvod.
• Recenze od nejnovějších. Na Booking.com je výchozí řazení „nejrelevantnější“ – a to může skrýt čerstvá varování. Přepněte na nejnovější.
• Cena příliš dobrá na to, aby byla pravdivá. Porovnejte s podobnými nabídkami ve stejné lokalitě. Výrazně nižší cena je návnada.
• Žádná platba mimo platformu. Převod na účet, dárková karta, krypto, platba přes Cash App – to všechno jsou signály podvodu. Totéž platí pro „ověření karty“ přes odkaz zaslaný e-mailem nebo WhatsAppem.
• Komunikace zůstává na platformě. Jakmile vás někdo přesouvá na WhatsApp, Telegram nebo soukromý e-mail, ztrácíte ochranu platformy. Airbnb to říká explicitně: platba a komunikace mimo platformu znamená ztrátu nároku na AirCover.

Co dělat v prvních hodinách, když ubytování neexistuje

Stojíte před zavřenými dveřmi v cizím městě. Panika je přirozená, ale pořadí kroků rozhoduje o tom, jestli peníze uvidíte zpátky.

1. Neodcházejte bez důkazů. Foťte adresu, dveře, cedule, okolí. Pořiďte screenshot inzerátu, potvrzení, platby a veškeré komunikace.
2. Volejte podporu platformy přes oficiální aplikaci. Ne přes odkaz z e-mailu, ne přes číslo z podezřelé zprávy. Airbnb má pravidlo 72 hodin – problém nahlásit a zdokumentovat do tří dnů od zjištění, abyste měli nárok na nové ubytování nebo vrácení peněz přes AirCover.
3. Kontaktujte banku. Nahlaste nedodanou službu a zahajte spor o transakci. U kreditní karty máte zpravidla 60 dnů od zobrazení položky na výpisu; české banky mají obdobné postupy pro chargeback.
4. Zajistěte si náhradní ubytování a schovejte účtenky. Každý doklad o vynuceném výdeji je důkazem pro reklamu.
5. Hlaste policii. Policie ČR doporučuje kontaktovat linku 158 nebo jakoukoli službu ihned po zjištění podvodu.

U přeshraničního sporu v rámci EU se můžete obrátit na Evropské spotřebitelské centrum, které v roce 2025 řešilo bezmála 1 600 přeshraničních sporů, hrozí o téměř 40 % víc.

Booking vs. Airbnb: kdo chrání cestovatele lépe

Srovnání není černobílé, ale rozdíly v přístupu jsou čitelné. Airbnb má pro hosta veřejně popsanou a strukturovanou ochranu: AirCover zahrnuje nové ubytování nebo vrácení peněz závažného problému, platforma aktivně blokuje komunikaci i platby mimo svůj systém. Booking.com nabízí bezpečnostní tipy a zákaznickou podporu, ale v podmínkách se vymezuje jako zprostředkovatel – za ubytování odpovídá poskytovatel. Britské spotřebitelské investigace věci popsaly pomalé vracení peněz a případy, kdy se pohnuly až po zásahu médií.

Na druhé straně: ani Airbnb není neprůstřelné. Neověřuje automaticky všechny detaily inzerátu a podvodník s přístupem ke kompromitovanému účtu může operovat i tam. Rozhodující proto není jen volba platformy, ale to, jestli celá komunikace i platba zůstala uvnitř oficiálního toku – a jestli jste si adresu ověřili i mimo inzerát.

Důvěryhodná značka v adresním řádku prohlížeče sama o sobě nic negarantuje. Pět minut s mapou a reverzním vyhledáváním fotek vám ušetří víc než jakýkoli proces vracení peněz.

Co přesně uniklo, a proč to stačí

Booking.com potvrdil jeho systémy, že platební údaje nebyly přístupné. To zní uklidňujícně, jenže podvodníci číslo karty nepotřebují. Stačí jim kombinace, kterou teď mají:

• Jméno a kontakt – vědí, komu píšou.
• Detaily rezervace – hotel, termín, počet nocí, případně čas příjezdu.
• Další sdílené informace – zvláštní požadavky, zprávy ubytování, poznámky k pobytu.

Firma přesný rozsah poslední kategorie nezveřejnila. Podle e-mailu, který viděla nizozemská agentura ANP a citoval NL Times , jde o „jakékoli další informace, které jste mohli sdílet s ubytováním“. Spadají sem i banální detaily typu „přijedeme pozdě, nechte klíč na recepci“, a právě takový detail v rukou útočníka dodá falešnou zprávu punc autenticity, který běžný phishing nemá.

Proč je načasování tak nebezpečné

Duben je měsíc, kdy se plní letní kalendáře. Miliony rezervace jsou čerstvé, hosté čekají potvrzení, ubytování posílá instrukce. Přesně do tohoto okna útočníci míří.

Není to spekulace. Microsoft v březnu 2025 popsal rozsáhlou phishingovou kampaň cílenou na hotelové partnery Booking.com, vedenou v období před nejrušnějšími cestovními dny. Bezpečnostní firma Sekoia o několik měsíců později rozložila konkrétní scénář: útočník kompromituje hotelový partnerský účet, získá reálné detaily rezervace a přes WhatsApp nebo e-mail pošle hostiteli žádost k „ověření karty“ nebo doplatku, jinak prý bude rezervace zrušena. Zpráva obsahuje správný hotel, správný termín, správné jméno. Oběť zaplatí, aniž zaváhá.

Booking.com technický vektor dubnového průniku neupřesnil. Ale model útoku i načasování odpovídají vzorům, kteří bezpečnostní výzkumníci dokumentují už přes rok.

Firma, která se učí pomalu

Není to poprvé. V roce 2018 se útočníci dostali k datům 4 109 lidí přes 40 hotelů ve Spojených arabských emirátech, tentokrát včetně platebních karet. Booking.com tehdy incident nahlásil s 22denním zpožděním. Nizozemský regulátor AP mu za to vyměřil pokutu 475 tisíc eur. V roce 2023 skončila firma pod zesíleným dohledem kvůli dalším pochybnostem nad hlášením úniků.

Tentokrát Booking rychle: hosté informovali v řádu dnů, PINy změnil, incident zanesla mateřská skupina Booking Holdings i do regulačního podání 10-Q ze 28. dubna 2026 . Zároveň ale tatáž skupina ve své výroční zprávě za rok 2025 přiznává historii cílených malwarových, phishingových a account-takeover útoků a konstatuje, že její stávající opatření „nebyla vždy úspěšná“. U firmy, která provozuje ve více než 220 zemích a spravuje přes 31 milionů nabídek ubytování, to není drobná poznámka pod čarou.

Co udělám, než odletíte

Odejít z platformy je jedna možnost. Praktičtější je chovat se tak, jako by každá nečekaná výzva k platbě u aktivní rezervace byla podvod, protože po tomto incidentu pravděpodobně je.

• Nic neplaťte přes odkaz z e-mailu, SMS, WhatsApp ani po telefonu.
• Rezervaci otevřete jen přes aplikaci nebo web Booking.com, přes odkaz ve zprávě.
• Zkontrolujte platební podmínky v původním potvrzení. Pokud vám někdo tvrdí, že musíte doplatit, av potvrzení nic takového není, je to signál.
• Komunikujte s ubytováním výhradně přes messaging na platformě, ne mimo ni.
• Zapněte dvoufaktorové ověření (2FA) na svém účtu.
• Při podezřelé výzvě kontaktujte podporu Booking.com, podle oficiálních bezpečnostních stránek nikdy nechce heslo ani číslo karty, pouze rezervační ID nebo PIN.

Číslo, které chybí

Booking.com odmítl sdělit, kolik hostů bylo zasaženo, a nezveřejnil ani geografické omezení incidentu. Nedá se tedy spolehnout, že se vás to netýká. Žádný veřejný nástroj pro ověření postižených rezervací neexistuje. Jediným indikátorem je notifikační e-mail od firmy a změněný PIN, a pokud ani jednou nepřišlo, neznamená to automaticky klid, jen to, že Booking zatím neklepl na vaše dveře.

Letní sezóna si platforma pokazila dřív, než začala. Rezervace na ní přijde fungovat dál, ale důvěra teď stojí na tom, jestli se každý hostitel naučí jednu věc: cokoliv, co mimo oficiální rozhraní a chce peníze, ignorovat.

Jak se útočníci dostali k datům

Začátek řetězce neleží u Bookingu, ale u hotelů. Microsoft v březnu 2025 popsal phishingovou kampaň skupiny Storm-1865, která cílila na pracovníky hotelů a cestovních agentur napříč Evropou, Severní Amerikou i jihovýchodní Asií. Útočníci posílali e-maily vydávající se za Booking.com, obsahující stížnosti hostů, ověřovací výzvy nebo obchodní nabídky. Uvnitř čekala technika zvaná ClickFix, tedy falešná stránka s CAPTCHA, která oběť přiměla spustit škodlivý příkaz.

Výsledkem byla instalace malwaru, konkrétně nástrojů XWorm, VenomRAT, AsyncRAT a dalších, schopných krást přihlašovací údaje a přistupovat k hotelovým systémům.

Jakmile útočník ovládl partnerský účet hotelu, získal přístup k rezervačním datům hostů, tedy jméno, e-mail, telefon, detaily pobytu, případně další informace, které host s ubytováním sdílel. Booking.com 13. dubna 2026 začal dotčené zákazníky informovat a resetoval PINy jejich rezervací.

Co přesně uniklo, a kde se zdroje rozchází

Potvrzené minimum zahrnuje jméno, e-mailovou adresu, telefonní číslo a detaily rezervace. Booking přes svou mluvčí pro TechCrunch uvedl, že finanční údaje přístupné nebyly. Sporným bodem zůstávají fyzické adresy: zákaznický e-mail a část médií včetně Guardianu je řadí mezi uniklá data, Booking to ale následně popřel. Obě verze existují veřejně vedle sebe a firma rozpor blíže nevysvětlila.

Kolik lidí bylo zasaženo, Booking nezveřejnil. Mluvčí pouze uvedla, že kompromitovaní ubytovací partneři tvoří „malý zlomek“ nabídky platformy. U služby se 100 miliony aktivních uživatelů může i malý zlomek znamenat tisíce rezervací.

Proč je tohle nebezpečnější než běžný únik

Databáze e-mailů a hesel se prodávají na dark webu po milionech. Většina lidí je ignoruje. Tady je situace jiná. Podvodník nepíše „Vážený zákazníku“, ale oslovuje vás jménem, zná váš hotel, datum příjezdu i typ pokoje. Přesně tento scénář už v Česku vedl ke skutečným ztrátám:

• Policie ČR v Královéhradeckém kraji popsala případ, kdy poškozený po věrohodné komunikaci s „hotelem“ přes WhatsApp přišel o téměř 20 tisíc korun.
• Krajské ředitelství v Olomouci eviduje další případ se škodou přes 38 tisíc korun, opět šlo o falešnou výzvu k platbě s údaji odpovídajícími skutečné rezervaci.

Oba případy spadají do staršího období a nejsou přímo navázány na dubnový incident. Způsob provedení je ale totožný. A s čerstvě uniklými daty mají podvodníci materiál na další vlnu.

Jak se bránit

Nejúčinnější obrana stojí na jednoduchém pravidle: nikdy nezadávat údaje ke kartě přes odkaz zaslaný e-mailem, přes WhatsApp nebo SMS, a to ani tehdy, když zpráva vypadá, že přišla od hotelu.

• Zkontrolujte svůj účet na Booking.com – hledejte oficiální upozornění a ověřte, zda nebyl změněn PIN rezervace.
• Každou platební výzvu porovnejte s původním potvrzením rezervace. Pokud při rezervaci nebylo nic o doplatku, žádný doplatek nepřišel.
• Ověřujte přímo – zavolejte na recepci hotelu číslem z jeho webu, ne z doručené zprávy.
• Pokud jste údaje už zadali, okamžitě kontaktujte banku, zablokujte kartu a požádejte o chargeback.

Policie ČR výslovně doporučuje nevyplňovat údaje z karty přes zaslané odkazy a každý neočekávaný požadavek ověřovat nezávislým kanálem.