A organização britânica de defesa do consumidor Which? conseguiu publicar, no Booking.com, um anúncio de aluguel de temporada para o número 10 de Downing Street, a residência oficial do primeiro-ministro do Reino Unido. O anúncio incluía o endereço exato e uma foto da famosa porta preta. A plataforma chegou a processar o pagamento de uma reserva de uma semana feita por um pesquisador da própria organização.
O objetivo não era ninguém se hospedar ali, mas expor falhas de verificação num dos maiores sites de reservas do mundo. O anúncio foi publicado em junho, sob o título “apartamento de um quarto no coração de Londres”, descrito como a 400 metros do Big Ben. A plataforma aceitou o anúncio sem exigir identidade ou comprovante de propriedade do imóvel: segundo o Which?, as regras do Booking.com só cobram esse tipo de documento até três meses depois de o anúncio já estar no ar. Por segurança, os pesquisadores deixaram o anúncio visível e aberto a pedidos de reserva por apenas 20 minutos. Nesse curto intervalo, 14 pessoas reais chegaram a pedir para se hospedar na casa do premiê; apenas o pedido feito por um membro da própria equipe do Which? foi aceito.
Semanas depois, a organização publicou uma avaliação falsa dando nota máxima à estadia e elogiando o gato Larry, mascote oficial de Downing Street. Mesmo com o anúncio fechado para novas reservas, ele só foi completamente removido do sistema mais de dois meses depois de criado. “Seria cômico anunciar o endereço mais famoso do Reino Unido, não fossem as consequências”, disse Rory Boland, editor de viagens do Which?, lembrando que turistas reais podem perder milhares de libras em golpes semelhantes.
Procurado pela BBC, o Booking.com afirmou que o teste não reflete a experiência da maioria dos milhões de anúncios e avaliações publicados na plataforma. A empresa explicou que, como o anúncio não ficou “ao vivo” durante os dois meses em que existiu no sistema, parte dos mecanismos automáticos de detecção de fraude não foi acionada para excluí-lo por completo.
O golpe simulado ilustra um problema real. Segundo a empresa de segurança digital Check Point Research, os ataques cibernéticos contra o setor de hospitalidade cresceram 122% nos últimos três anos, um ritmo bem acima da média de 2% registrada no conjunto de todos os setores. Em um único mês recente, foram registrados mais de 47 mil novos domínios ligados a viagens, alta de 33% em relação ao mês anterior.
Casos reais já aconteceram. Cerca de 50 turistas que chegaram a um hotel de Barcelona com reserva confirmada pelo Booking.com descobriram que o hotel nunca tinha recebido a reserva, dias depois de a empresa confirmar um ataque que expôs dados de viagem e contato de clientes. Na França, a associação de consumidores Que Choisir Ensemble registrou um aumento de cerca de 900% em tentativas de fraude ligadas a reservas durante os Jogos Olímpicos de Paris.
Fora da União Europeia desde o Brexit, o Reino Unido tem seu próprio regulador para plataformas digitais, a Ofcom, responsável por fazer cumprir a Lei de Segurança Online do país. Questionada pelo Which?, a agência respondeu que plataformas têm obrigação legal de remover rapidamente conteúdo ilegal gerado por usuários assim que tomam conhecimento dele.
O episódio também não passa despercebido pelos reguladores europeus. O Booking.com está classificado como plataforma de muito grande dimensão pelo Regulamento de Serviços Digitais da União Europeia e como gatekeeper pelo Regulamento dos Mercados Digitais, o que obriga a empresa a fazer avaliações de risco periódicas, auditorias independentes e coletar mais informações de quem anuncia na plataforma.
Quase um ano antes, a Comissão Europeia já havia pedido informações formais ao Booking.com, à Apple, ao Google e à Microsoft sobre como cada uma dessas empresas identifica e administra riscos de golpes financeiros em seus serviços, mostrando que a preocupação de Bruxelas seguia sem resposta prática. Apesar da promessa da empresa de remover anúncios fraudulentos em 24 horas, o da casa do primeiro-ministro britânico levou mais de dois meses para sumir por completo do sistema.
