Booking.com: parceiros hoteleiros comprometidos expõem dados de viajantes

Contexto

A Booking.com confirmou em 13 de abril de 2026 acesso não autorizado a dados de reservas de clientes, incluindo nomes, e-mails, endereços físicos, telefones e mensagens privadas com hotéis — informações financeiras não foram comprometidas. O vetor foi a rede de hotéis parceiros: funcionários foram alvo da técnica ClickFix, que apresenta falsas páginas de CAPTCHA pedindo ao usuário que execute um script para 'corrigir um erro do navegador', instalando malware (XWorm, VenomRAT, PureRAT) que roubou cookies de sessão e contornou MFA. O grupo Storm-1865, rastreado pela Microsoft, conduziu o ataque com alvos em hotéis da América do Norte, Europa, Oceania e Ásia. O padrão não é novo: a Booking.com já sofreu ataque similar por engenharia social via parceiros hoteleiros em 2021, e desta vez o ciclo de exploração se repetiu antes que controles estruturais fossem implementados.

Impacto pra o negócio

Viajantes corporativos passaram a receber mensagens de phishing com dados corretos de reserva — nome do hotel, datas e número de confirmação — antes da notificação oficial, indicando que os dados circularam por semanas sem alerta. Para empresas que usam Booking.com para viagens de negócio, o risco imediato é fraude financeira direcionada: funcionários podem receber solicitações falsas de repagamento via WhatsApp com dados que parecem legítimos. O DPO de qualquer organização com colaboradores afetados deve avaliar obrigações de notificação interna sob LGPD Art. 48 ou GDPR Art. 34, conforme jurisdição. A Booking.com não divulgou o número de clientes afetados, o que impede avaliação de escala — mas a plataforma atende centenas de milhões de usuários registrados globalmente, o que sugere exposição em larga escala. O risco reputacional é agravado pelo histórico de reincidência: segunda violação com atraso de notificação em cinco anos.

Checklist CISO/CTO

• Mapeie todos os fornecedores e integradores com acesso a PII de clientes ou colaboradores em produção e classifique por criticidade de acesso.
• Exija evidências de MFA resistente a phishing (passkeys ou hardware tokens) nos próximos contratos e renovações com fornecedores que processam dados pessoais.
• Alerte viajantes corporativos sobre phishing cirúrgico usando dados reais de reserva — instrua a não efetuar pagamentos via links recebidos por WhatsApp ou e-mail não solicitado.
• Consulte o DPO sobre obrigação de registro do incidente no RoPA e notificação à ANPD conforme LGPD Art. 48, se dados de colaboradores brasileiros estão no escopo da plataforma.
• Inclua SLA de notificação de incidente em até 24h como cláusula obrigatória nos próximos contratos com plataformas de viagem corporativa.
• Valide se o seguro cyber vigente cobre perdas financeiras por fraude downstream derivada de breach em fornecedor terceiro.

Mapeamento de compliance

• GDPR Art. 33 — Notificação à autoridade supervisora em até 72h após ciência do incidente (Booking.com notificou com 22 dias de atraso, reincidência da infração de 2021)
• LGPD Art. 48 — Comunicação à ANPD e titulares em prazo razoável em caso de incidente de segurança com risco relevante
• ISO 27001 A.15.2 — Monitoramento e revisão de serviços de fornecedores com acesso a ativos de informação classificados
• SOC 2 CC9.2 — Gerenciamento de risco de fornecedores e parceiros de negócio com acesso a dados de clientes