Skilaboð berast á WhatsApp. Sendandinn veit nafnið þitt, hótelið sem þú bókaðir og dagsetningarnar. Hann segir að þú verðir að staðfesta bókunina innan nokkurra klukkustunda eða missa herbergið. Upplýsingarnar eru réttar og þess vegna virðast skilaboðin ekta. Þetta eru samt svik.
Hvað gerðist?
Norska blaðið VG sagði 19. október frá ferðablaðamanninum Vibeke Montero og DV endursagði söguna á íslensku sama dag. Skömmu fyrir ferð til Feneyja í október fékk hún WhatsApp-skilaboð þar sem hún var beðin að staðfesta hótelbókun innan tólf klukkustunda. Sendendurnir vissu nafnið hennar, ferðadagana og hótelið.
Hún smellti á tengilinn og lenti á síðu sem líktist Booking.com, með myndum af hótelinu, réttu heimilisfangi og öllum upplýsingum um bókunina. Hún stoppaði þegar síðan bað um kortaupplýsingar. Hún hafði þegar borgað herbergið og hafði enga ástæðu til að borga aftur. Síðan var fölsk.
Mál hennar er eitt af mörgum. Samkvæmt öryggisfyrirtækinu Gen Digital höfðu að minnsta kosti 350 gististaðir í 50 löndum orðið fyrir svikum af þessu tagi í maí á þessu ári, flestir í Evrópu. Booking.com staðfesti í apríl að utanaðkomandi aðilar hefðu komist yfir bókunarupplýsingar viðskiptavina. Þar á meðal voru nöfn, símanúmer og upplýsingar um væntanlegar ferðir.
Þetta hefur líka gerst hér. CERT-IS, netöryggissveit Íslands, varaði við 20. maí. Lekinn náði til fullra nafna, netfanga, símanúmera og skilaboða sem gestir sendu gististöðum í gegnum Booking.com. Samtök ferðaþjónustunnar (SAF) greindu í júní frá fleiri tilvikum þar sem gestir fengu fölsk skilaboð tengd bókunum sínum á Booking.com. Í ágúst sagði Persónuvernd að henni hefðu borist tilkynningar um svikatilraunir. Þá var haft samband við fólk skömmu fyrir dvölina og það platað til að gefa upp kortaupplýsingar.
Af hverju er þetta í fréttum núna?
Tvennt gerðist síðustu tíu daga.
Framkvæmdastjórn ESB hóf 21. október rannsókn á Booking.com samkvæmt lögum um stafræna þjónustu (Digital Services Act). Lögin setja stórum netkerfum reglur. Embættismaður framkvæmdastjórnarinnar sagði viðbrögð fyrirtækisins við fölskum gististöðum og svikum „algjörlega ófullnægjandi“. Rannsóknin nær meðal annars til svokallaðra bókunarrána. Þá nota glæpamenn stolin gögn til að þykjast vera hótelið og biðja gesti um greiðslu á WhatsApp eða jafnvel í skilaboðakerfi Booking.com. Booking.com segist vinna með framkvæmdastjórninni. Rannsókn þýðir ekki að fyrirtækið hafi verið fundið sekt um neitt.
Hinn 27. október kom í ljós að brotist hafði verið inn hjá ástralska fyrirtækinu RMS. Yfir 6.000 hótel, orlofsgarðar og íbúðahús um allan heim nota bókunarkerfið þess. Gestir fóru að fá tölvupóst, smáskilaboð og WhatsApp-skilaboð með réttum bókunarupplýsingum og beiðni um greiðsluupplýsingar. Í einum fölskum pósti stóð að bankinn hefði lokað kortinu. Gesturinn átti að smella á hnapp til að uppfæra það, annars yrði bókunin felld niður. RMS segir að engum kortaupplýsingum hafi verið stolið.
Degi síðar, 28. október, sagði Japan Airlines að tölvuþrjótar hefðu komist í bókunargögn um 92.000 viðskiptavina. Það gerðist í gegnum Amadeus, fyrirtækið sem rekur bókunarkerfi flugfélagsins. Japan Airlines varaði viðskiptavini við fölskum tölvupósti og símtölum.
Af hverju skiptir þetta þig máli?
Gamla ráðið var að svikaskilaboð vissu ekki hver þú værir. Það á ekki lengur við. Þegar glæpamenn stela bókunargögnum frá bókunarvef, hóteli eða hugbúnaði hótelsins geta þeir skrifað þér með réttu nafni, réttum dagsetningum og réttu bókunarnúmeri. Rétt nafn og bókunarnúmer sanna því ekki að skilaboðin séu ekta.
Margir Íslendingar bóka ferðir fyrir haustið, jólin og vorið á þessum tíma árs. Margir bóka í gegnum stóra bókunarvefi eða beint hjá hótelum sem nota bókunarkerfi eins og þau sem nefnd eru hér að ofan. Þú ræður ekki hvort brotist er inn hjá þessum fyrirtækjum. Þú ræður hvað þú gerir þegar skilaboðin berast.
Hvað átt þú að gera?
Borgaðu ekki og sláðu ekki inn kortaupplýsingar úr tengli í skilaboðum. CERT-IS og Booking.com segja bæði að Booking.com biðji ekki um greiðsluupplýsingar í tölvupósti, síma eða smáskilaboðum.
Skoðaðu bókunina í appinu. Lokaðu skilaboðunum og opnaðu Booking.com-appið, eða sláðu veffangið inn í vafrann, og skoðaðu bókunina þar. Ef eitthvað er raunverulega að sérðu það þar.
Hringdu í hótelið í númer af vef hótelsins, ekki númerið í skilaboðunum.
Varastu tímapressu. „Staðfestu innan 12 klukkustunda eða þú missir herbergið“ er þekkt bragð til að fá þig til að bregðast við áður en þú hugsar.
Verndaðu aðganginn þinn. CERT-IS ráðleggur að breyta lykilorðinu á Booking.com og kveikja á tvíþátta auðkenningu.
Tilkynntu svikin. Booking.com tekur við tilkynningum á report.booking.com.
Ef þú hefur þegar gefið upp kortaupplýsingar skaltu hringja strax í bankann, í neyðarnúmerið utan opnunartíma. CERT-IS segir að skjót viðbrögð geti stundum stöðvað greiðsluna. Tilkynntu málið svo til lögreglunnar.
Tvö góð ráð
Valmyndirnar hér fyrir neðan heita þetta á ensku. Í íslensku viðmóti geta heitin verið önnur.
1. Settu inn nýjustu öryggisuppfærslurnar í Chrome
Chrome uppfærir sig yfirleitt sjálft en uppfærslan tekur ekki gildi fyrr en vafrinn er endurræstur. Margir hafa hann opinn vikum saman. Smelltu á punktana þrjá efst til hægri og veldu Help > About Google Chrome. Chrome leitar þá að uppfærslum. Ef þú sérð hnappinn Relaunch skaltu smella á hann. Flipana sem voru opnir færðu aftur eftir endurræsinguna.
2. Kannaðu tengil í Gmail áður en þú smellir og tilkynntu falsaðan póst
Í tölvu getur þú látið músarbendilinn hvíla á tengli án þess að smella. Þá birtist rétta veffangið. Ef það passar ekki við það sem pósturinn segir getur tengillinn leitt á svikasíðu. Til að tilkynna falsaðan póst opnar þú hann, smellir á punktana þrjá (More) við hliðina á Reply og velur Report phishing. Þá getur Google varað aðra við.
Heimildir
VG: Ny svindelmetode: Falske hotellmeldinger på WhatsApp (19. október 2026)
DV: Ferðamenn varaðir við lúmskum svikum (19. október 2026)
CERT-IS: Viðvörun vegna gagnaleka hjá Booking.com (20. maí 2026)
SAF: Aukning í vefveiðitilfellum (3. júní 2026)
Persónuvernd: Ábending vegna gagnaleka af Booking.com (27. ágúst 2026)
The Guardian: Booking.com under investigation by EU regulators (21. október 2026)
ABC News: Major holiday park operators warn guests about fraudulent emails (27. október 2026)
ABC News: RMS hack sees ‘convincing’ phishing scam emails (29. október 2026)
The Record: Japan Airlines warns of data breach (28. október 2026)
Google: Update Google Chrome · Gmail: Avoid & report phishing emails