分享一下我在 Booking 订酒店遇到诈骗的经历

[bghtyu]

最近在准备端午节请假出去旅游，需要预订国外的酒店，因为前几年用 Booking 预订过很多次酒店，这次就也用了 Booking ，没想到遇到了诈骗。

我在 5 月 9 日用 Booking 预订了 6 月 12 日的酒店，当时一切正常，很快收到了确认邮件。

直到昨天 5 月 20 日，我正在公司加班写技术方案😭，突然手机狂震，收到 Booking 的多封邮件和消息通知。打开一看说我的支付方式有问题，需要打开链接验证我的支付方式，否则会在 24 小时内取消我的预订。

这时候我还没有意识到有什么问题，因为消息确实是在 Booking 的 app 上显示由酒店发送的，下意识看了下邮件的发件人，也没什么问题。

但是我并没有收到他说的链接，（事后猜测是被 Booking 屏蔽掉了）。于是我回复了一条信息，问了一下。

很快对方重新发送了链接，这次收到了。看到链接，我立刻就意识到是骗子了。

可能是担心我没收到，还发送了另一个链接

Google 搜了一下，发现网上这样的经历还不少，而且已经持续挺长时间。

骗子还是持续不断的给我发消息和邮件，警告我再不验证就会取消订单。

aHR0cHM6Ly9tYXBzLmdvb2dsZS5jb20vdXJsP3E9aHR0cHMlM0ElMkYlMkZsaW5rLmFjJTJGNjlheD8=

aHR0cHM6Ly9tYXBzLmdvb2dsZS5jb20vdXJsP3E9aHR0cHMlM0ElMkYlMkZoaWRldXJpLmNvbSUyRmwwM20zSj8=

这是骗子发送的两个链接，应该是利用了 Google Map 的域名来防止 Booking 的屏蔽，毕竟酒店正常也可能会发送定位链接给顾客。之后会跳转到一个短网址的域名，最后跳到骗子的假 Booking 网站，诱导用户填写信用卡信息。

刚开始很奇怪 Google 为什么会允许这样的跳转链接，后来想明白这应该类似知乎那种外链页面，可以随意的在地址后面拼接其它网站的 url ，感觉是一个安全隐患

半夜的时候酒店终于意识到了问题，发来了提醒

最后的疑问就是骗子是如何拿到这么多酒店发消息的权限的，是盗了酒店的账号吗，还是类似之前 LTT 那种被窃取了 Cookie ，有没有大佬分析分析

[lithiumii]

booking 挺可疑的，之前旅游用了，然后就频繁收到登录验证邮件

[bghtyu]

@lithiumii 能搜到很多类似的经历，不知道是他们的系统有什么漏洞还是有内鬼

[uqin]

我也遇到过这种情况

[Bown]

OP 最后一张图漏打码了

[defunct9]

没啥好说，直接联系 booking ，让他们调查。

[bghtyu]

@Bown 感谢提醒！没关系，我准备重新订一个酒店了

[huyi23]

这不叫诈骗啊，正常流程啊，booking 就是这样，把信用卡号发给酒店的，酒店为了怕黑卡盗刷，会让你验证信用卡，非常正常，这也是为什么海鲜市场那么多 5 折代订 booking 的原因。

[huyi23]

仔细看了下，最后地址确实是一个诈骗网站，估计店家号被黑了，我看了下这个酒店，也不算小了，是正规酒店
所以啊，booking 的这套流程，真的是有问题，酒店方被黑卡整，住客被盗刷整，两边不讨好

[way2explore2]

hacker news 上有讨论，没记错的话，是 B 他们转移澳洲数据时，漏了一些数据，导致内部通信系统有漏洞。(酒店 和 客户)

钓鱼频繁发生在澳大利亚。

[gcfredboy]

我也收到过类似信息，我就直接登录 booking 的 app, 把钱直接付了，后来反正成功入住了。

[bghtyu]

@huyi23 #8 我理解 Booking 作为平台应该负责信用卡的验证，如果出了问题也应该承担责任。但是 Booking 好像没有验证我的信用卡，绑定的时候也没有扣 1 块钱之类的，就直接绑上了

[bghtyu]

@way2explore2 如此严重的 bug ，这么久了都不修，实在离谱

[huyi23]

@bghtyu 哈哈哈哈，booking 从来都是把信用卡拿给酒店验证，所以很多酒店只愿意把官方渠道放 booking ，这就叫有舍有得

[huyi23]

@bghtyu 你那是国内思维，携程为什么比 booking 好，携程是收人民币，但是酒店要验证信用卡，于是携程自己发行了一张你独有的信用卡给酒店，你没错，携程背地里干了很多你看不到的事情，他甚至还能发行信用卡（ triplink ）