Početna · Blog · Programi i kanali

Prevare na Bookingu i Airbnbu: lažne poruke, preuzeti extranet i lažne uplate — kako se zaštititi

Dmitrij Sitki · glavni razvojni inženjer ReceptionGO
Objavljeno 15. listopada 2026. · 5 min čitanja

Najskuplja prevara nije lažni gost, nego preuzet račun na Bookingu: iznajmljivač klikne lažnu e-poruku „Booking.com” (loša recenzija, upit gosta, provjera računa), napadač uđe u extranet i vašim gostima pošalje poveznicu za „ponovno plaćanje”. Zaštita: dvofaktorska prijava, nikad lozinka iz poveznice u e-pošti i jasna poruka gostima kako plaćaju.

Isprobajte ReceptionGO 30 dana besplatno — bez kartice. →

Gost vam piše: „Platio sam ponovno kako ste tražili, je li sad sve u redu?” Vi niste ništa tražili. U extranetu vidite poruku poslanu s vašeg računa, s poveznicom na stranicu koja izgleda kao Booking i traži podatke kartice „jer plaćanje nije uspjelo”. Nije izmišljeno: Microsoft je u ožujku 2025. objavio analizu kampanje koja je ciljala upravo hotele i iznajmljivače koji rade s Bookingom, a slične slučajeve iz cijele Europe opisuju i hrvatski mediji.

Tri vrste prevara koje pogađaju iznajmljivače

Kako vam preuzmu račun

Microsoftova analiza (napadač nazvan Storm-1865) opisuje teme e-poruka: negativna recenzija gosta, upit budućeg gosta, ponuda za online promociju i provjera računa. Poveznica vodi na stranicu koja izgleda kao Booking, a ponekad na lažnu „CAPTCHA” provjeru koja traži da pritisnete Windows + R i zalijepite naredbu — tako se na računalo instalira program koji krade lozinke iz preglednika. Kad napadač ima pristup, vidi imena gostiju, datume i iznose, i piše im kroz pravi sustav za poruke.

Znakovi lažne poruke

• Hitnost: „u 24 sata”, „račun će biti zatvoren”, „gost čeka odgovor”.
• Adresa pošiljatelja koja samo sliči: booking-partner-help.com, bookinq.com, adrese s gmail.com.
• Poveznica koja ne vodi na admin.booking.com ili account.booking.com (prijeđite mišem preko nje prije klika).
• Privitak „fotografije gosta”, „pritužba.pdf.exe” ili ZIP.
• Upute da nešto kopirate i pokrenete — nijedna prava stranica to ne traži.

Deset koraka zaštite

1. Uključite dvofaktorsku prijavu na Bookingu, Airbnbu, u e-pošti i u channel manageru. Aplikacija za kodove sigurnija je od SMS-a.
2. U extranet ulazite samo preko oznake u pregledniku ili aplikacije Pulse, nikad preko poveznice iz e-pošte.
3. Poruke gostiju čitajte u extranetu, ne u e-pošti. Ako je poruka prava, ista je i u extranetu.
4. Jedna lozinka — jedan servis. Upravitelj lozinki pomaže; ista lozinka za e-poštu i Booking najčešći je put napada.
5. Provjerite korisnike s pristupom extranetu i kontaktne adrese; uklonite bivše suradnike i čistačice kojima pristup više ne treba.
6. Računalo za rezervacije neka bude ažurno, s uključenom zaštitom; ne instalirajte „preglednike fotografija gostiju”.
7. Gostima u potvrdi napišite kako plaćaju: „Nikad nećemo tražiti podatke kartice u poruci ni ponovno plaćanje preko poveznice.”
8. Nikad ne vraćajte preplatu na drugi račun ili drugim kanalom; vratite isti iznos na isti način kojim je stigao, i to tek kad novac stvarno sjedne na račun.
9. Šifru za vrata i mjesto preuzimanja ključeva šaljite tek kad je rezervacija stvarna i plaćena, i po mogućnosti tek kad su gosti prijavljeni.
10. Pratite svoje fotografije: obrnuta pretraga slika jednom u sezoni otkrije kopirane oglase.

Ako se već dogodilo

1. Promijenite lozinku Booking računa i e-pošte s drugog, čistog uređaja i odjavite sve sesije.
2. Nazovite Booking na broj iz Partner Huba i prijavite kompromitiran račun; provjerite IBAN i kontakte.
3. Pišite svim gostima s nadolazećim rezervacijama da ignoriraju poruke s poveznicama za plaćanje.
4. Pregledajte računalo antivirusnim programom; ako ste pokretali „naredbu” s lažne stranice, računalo smatrajte zaraženim dok ga stručnjak ne pregleda.
5. Prijavite incident policiji i CERT.hr-u; gostu koji je platio prevarantu dajte broj prijave za njegovu banku.

Lažni gosti i izravne rezervacije

Kod izravnih rezervacija nema zaštite portala, pa pravila trebaju biti jasna unaprijed: koliki je predujam, kako se plaća, kada se vraća. Primjere i predložak uvjeta naći ćete u vodiču o predujmu, kapari i otkazivanju. Ako gost plaća karticom, 3D Secure potvrda banke gosta i plaćanje na stranici koja je povezana s rezervacijom gotovo potpuno uklanjaju trik s preplatom.