UE abre processo DSA contra a Booking.com por anúncios falsos e phishing

A Comissão Europeia abriu a 21 de outubro um processo formal contra a Booking.com ao abrigo do Regulamento dos Serviços Digitais (DSA). Bruxelas suspeita que a plataforma não avaliou nem travou devidamente os riscos dos anúncios de alojamento falsos e do phishing que explora os dados de reserva dos hóspedes. Uma terceira vertente diz respeito aos anúncios destacados pagos pelos hotéis mas sem indicação clara de publicidade.

«Os europeus devem poder reservar as férias sem serem burlados», afirmou Henna Virkkunen, vice-presidente executiva da Comissão para a soberania tecnológica, segundo o heise. A Booking.com é uma plataforma em linha de muito grande dimensão nos termos do DSA desde abril de 2023, ou seja, tem mais de 45 milhões de utilizadores mensais na UE. Se as infrações forem confirmadas, arrisca uma coima de até 6% do volume de negócios anual mundial.

O que Bruxelas vai examinar

A primeira vertente são os anúncios falsos: alojamentos inexistentes, falsificação de hotéis reais e ofertas que violam as regras locais. A Comissão vai verificar se a Booking.com avaliou estes riscos e removeu esses anúncios de forma eficaz. Segundo o heise, em Espanha surgiram recentemente anúncios de alojamentos que simplesmente não existiam.

A segunda vertente é a que mais mexe com a carteira dos hóspedes. A Comissão vai analisar como os dados de reservas e hóspedes são partilhados com os alojamentos, como está desenhado o serviço de mensagens da Booking.com e se há salvaguardas suficientes para impedir que esses dados sejam usados em phishing e pedidos de pagamento fraudulentos. A terceira vertente é a publicidade: um hotel pode subir nos resultados pagando uma comissão mais alta, e o DSA exige que o utilizador veja claramente que se trata de um anúncio e quem pagou por ele.

As alegadas infrações enquadram-se nos artigos 34.º e 35.º do DSA sobre riscos sistémicos e no artigo 26.º, n.º 1, sobre transparência da publicidade. O processo segue pedidos formais de informação enviados a 23 de setembro de 2025 e 26 de maio de 2026. Não há prazo: a Comissão pode enviar novos pedidos, entrevistar funcionários, fazer inspeções, impor medidas provisórias ou aceitar compromissos da empresa. A Booking.com disse à dpa que está a «cooperar plenamente». O mesmo procedimento já decorre contra outras plataformas, como o TikTok por causa das contas de menores.

Como a burla chega aos hóspedes

Em abril de 2026 a Booking.com avisou os clientes de que «terceiros não autorizados» tinham acedido a dados de reservas: nomes, endereços de e-mail e postais, números de telefone e detalhes da reserva. Segundo a Malwarebytes, os criminosos entraram através de hotéis parceiros e não pela própria Booking.com. A Microsoft atribui ataques a funcionários de hotéis a um grupo que designa Storm-1865, que instalava software de acesso remoto através de páginas CAPTCHA falsas.

Com o acesso de um hotel, o burlão escreve aos hóspedes no próprio chat da plataforma. O Serviço Federal de Cibersegurança da Suíça (BACS) descreveu duas variantes em junho. Numa, a «Booking.com» ou «o hotel» oferece pelo WhatsApp um reembolso ou cashback por causa de um erro. Na outra, diz-se ao hóspede que a reserva será cancelada se não verificar já o cartão ou não pagar um sinal. Ambas levam a uma página de pagamento falsa que recolhe os dados do cartão.

O que ajuda, segundo o BACS e a Booking.com:

• Não confie numa mensagem só porque refere as suas datas, o hotel e o quarto: são exatamente esses os dados que vazaram.
• Não abra links de mensagens sobre reembolsos, «verificações» ou pagamentos urgentes, mesmo no chat da Booking.com.
• Confirme quanto e quando tem de pagar na confirmação da reserva, na app ou no site que abre por si.
• Em caso de dúvida, ligue para o hotel para um número que procurou por si. Um reembolso nunca exige as suas credenciais nem a leitura de um código QR.
• Se já introduziu os dados do cartão, ligue para o banco e bloqueie o cartão.