מי שחיפש לאחרונה מקום לינה במרכז לונדון יכול היה להיתקל בהצעה שקשה להאמין שהיא אמיתית: דירת חדר שינה אחד, במיקום מרכזי במיוחד ורק דקות הליכה מבתי הפרלמנט. הכתובת: 10 Downing Street - ביתו ומעונו הרשמי של ראש ממשלת בריטניה.
אלא שהדירה כמובן מעולם לא עמדה להשכרה. מאחורי המודעה עמד ארגון הצרכנות הבריטי Which?, שביקש לבדוק עד כמה מערכות האבטחה והבקרה של Booking.com מצליחות לזהות מודעות מזויפות.
לפי הארגון, התוצאה הייתה מדאיגה: המודעה הוקמה בתוך דקות, למרות שהכילה את הכתובת המדויקת של דאונינג 10 ותמונה של הדלת השחורה המפורסמת.
המודעה הועלתה ב-18 ביוני תחת הכותרת "דירת חדר שינה אחד בלב לונדון", והבטיחה בין היתר מרחק הליכה של ארבע דקות מבתי הפרלמנט. כדי למנוע מתיירים אמיתיים לשלם על החופשה שלא קיימת, החוקרים הגדירו את הנכס כך שהזמנה תדרוש אישור של המארח.
אלא שכאשר הם פתחו את אפשרות ההזמנה למשך כ-20 דקות לצורך הניסוי, 14 אנשים פנו וביקשו להתארח בביתו של ראש הממשלה. רק הזמנה שביצע חוקר מטעם Which? מחשבון אחר אושרה. Booking.com אף עיבדה את התשלום עבור שהייה של שבוע בנכס המזויף.
גם הביקורת המזויפת עברה
החוקרים החליטו לקחת את הבדיקה צעד נוסף קדימה. לאחר "השהייה" הם העלו ביקורת מזויפת והעניקו לנכס ציון מושלם של 10 מתוך 10 - "יוצא מן הכלל".
בביקורת הם אפילו ציינו כאחד משיאי החופשה את הבילוי עם לארי החתול, החתול המפורסם המתגורר בדאונינג סטריט.
לפי Which?, המערכת הודיעה שהביקורת תעבור בדיקה לפני פרסומה, אך היא הופיעה באתר כמעט מיד.
וזו לא הייתה הפרצה היחידה. החוקרים הצליחו להשתמש במערכת ההודעות של Booking.com כדי לשלוח לאורח קישור חיצוני שביקש ממנו להזין פרטי כרטיס אשראי לצורך "אישור ההזמנה" - בדיוק אחת השיטות המשמשות בהונאות פישינג. גם הקישור הזה לא נחסם בניסוי.
"המערכת לא מזהה את דאונינג 10"
ב-Which? טוענים כי הממצאים מעלים שאלות קשות לגבי מנגנוני האימות של אחת מפלטפורמות התיירות הגדולות בעולם. לפי הארגון, בהתאם למדיניות Booking.com, מארחים אינם נדרשים בהכרח להציג תעודה מזהה או הוכחת בעלות על הנכס מיד עם העלאתו, והדרישה עשויה להגיע רק לאחר שלושה חודשים.
רורי בולנד, עורך Which? Travel, אמר כי אם מערכות הבינה המלאכותית של החברה אינן מצליחות לזהות שדאונינג 10 אינו בית נופש להשכרה, קל להבין כיצד נוכלים מצליחים לנצל את הפלטפורמה. לדבריו, מה שנשמע בתחילה כמו ניסוי משעשע מקבל משמעות אחרת כאשר מטיילים אמיתיים עלולים לאבד אלפי ליש"ט בגלל נכסים מזויפים וקישורי פישינג.
המודעה הוסרה לבסוף ב-27 באוגוסט, לאחר שהארגון פנה לחברה במסגרת הכנת התחקיר. Which? קרא לרגולטור הבריטי Ofcom לבחון את התנהלות הפלטפורמה ואת עמידתה בחובות הנובעות מחוק הבטיחות המקוון הבריטי.
Booking.com: הניסוי אינו משקף את המציאות בפלטפורמה
ב-Booking.com דחו את הטענה שהניסוי משקף את רמת האבטחה הכללית באתר. בתגובה נמסר כי מדובר בבדיקה מוגבלת שאינה מייצגת את מיליוני הנכסים והביקורות בפלטפורמה.
בחברה הסבירו כי מאחר שהנכס לא נותר פתוח להזמנות לאורך התקופה שבה הופיע במערכת, חלק ממנגנוני האיתור האוטומטיים לא הופעלו. עוד נמסר כי החברה מפעילה שורה של אמצעי בדיקה ואימות, לצד טכנולוגיות בינה מלאכותית, המסייעים לה לזהות ולהסיר את רוב המודעות המזויפות בתוך 24 שעות, וכי היא ממשיכה לחזק את מנגנוני ההגנה מפני הונאות.
עבור המטיילים, התחקיר הוא בעיקר תזכורת לכך שגם מודעה שמופיעה באחת מפלטפורמות ההזמנות הגדולות בעולם אינה בהכרח ערובה לכך שהנכס באמת קיים. ואם אפילו דאונינג 10 הצליח להפוך לדירת נופש - שווה לבדוק היטב לפני שמזינים את פרטי האשראי.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו