اختراق Booking.com: تسريب بيانات الحجوزات يشعل موجة عالمية من التصيّد في أبريل 2026

سيناريو مألوف يضرب إحدى أكبر منصات السفر في العالم

في 12 أبريل 2026، بدأت Booking.com إرسال رسائل بريد إلكتروني للعملاء للكشف عن أن “أطرافاً ثالثة غير مصرح لها ربما تمكنت من الوصول إلى معلومات حجز معينة” مرتبطة بحجوزاتهم. وبعد يوم واحد، أكدت الشركة الاختراق علنياً. ورغم أن Booking.com تصر على عدم الوصول إلى التفاصيل المالية، فإن البيانات المسرّبة — الأسماء الكاملة وعناوين البريد الإلكتروني وأرقام الهواتف والعناوين الفعلية وتفاصيل الحجوزات وسجلات الرسائل الكاملة بين النزلاء ومقدمي خدمات الإقامة — هي على الأرجح أكثر خطورة على المستخدمين النهائيين من تسريب أرقام بطاقات ائتمان خام.

والسبب: هذه المجموعة المحددة من البيانات هي المادة الخام للتصيّد المخصص للغاية. لم يعد على المحتالين تخمين الفندق الذي حجزت فيه أو موعد وصولك أو اللغة التي كتبت بها طلباتك. يمكنهم رؤية كل شيء. وقد بدأت الهجمات بالفعل.

موجة التصيّد وصلت قبل إشعار الاختراق

إحدى أبرز بصمات هذا الحادث هي التوقيت. بدأ العملاء المتضررون في أستراليا وهولندا والمملكة المتحدة الإبلاغ عن رسائل WhatsApp مستهدفة قبل أسابيع من إرسال Booking.com إشعارها الرسمي. احتوت الرسائل على تفاصيل حجز دقيقة — تواريخ وأسماء فنادق وأرقام حجوزات — مما منحها مصداقية لا يمكن للتصيّد العام أن يضاهيها. وقد أُفيد أن مسافرة أسترالية متجهة إلى بالي خسرت 100 دولار لصالح محتال ينتحل صفة دعم Booking.com، وشارك عدة مستخدمين على Reddit لقطات شاشة لرسائل “حجز ملغى” تطالب بأكثر من 1,000 يورو كرسوم إعادة تفعيل زائفة.

وصفت Cybernews ما تلا الحادث بأنه “موجة احتيال تستهدف حجوزات المسافرين”، وقد وثّقت شركتا الأمن Bridewell وSekoia لسنوات سلسلة هجوم متسقة وراء حوادث ضيافة مماثلة: يخترق المهاجمون بيانات اعتماد الشركاء الفندقيين عبر برمجيات infostealer، ويستخرجون قاعدة بيانات الحجوزات الخاصة بالشريك من خلال extranet المنصة، ثم يصوغون إغراءات مقنعة ضد النزلاء الأفراد. حادث أبريل 2026 يتطابق تماماً مع هذا السيناريو.

سلسلة توريد، لا اختراق مباشر

من المهم أن التقارير المتاحة تشير إلى أن الاختراق لم يستهدف البنية التحتية الأساسية لـ Booking.com. بل استغل نقاط الضعف في عمق سلسلة توريد السفر — وتحديداً، حسابات الشركاء الفندقيين المتصلة بـ extranet الخاص بـ Booking.com. بمجرد اختراق جهاز موظف فندق واحد بواسطة infostealer مثل RedLine أو LummaC2، يمكن للمهاجمين جمع رموز الجلسة وبيانات تسجيل الدخول، ثم المصادقة على نظام الحجوزات باسم الفندق نفسه. المنصة ترى شريكاً شرعياً يسحب بيانات النزلاء. والنزيل يرى رسالة من فندقه الحقيقي. تنكسر السلسلة عند كمبيوتر محمول واحد لموظف استقبال مرهق.

هذا النمط في سلسلة التوريد مهم لأن Booking.com لا تستطيع الدفاع الكامل عن مستخدميها باستخدام ضوابط جانب المنصة وحدها. فرضت الشركة إعادة تعيين رموز PIN عبر الحجوزات الحالية والسابقة وتطرح مراقبة إضافية، لكن مئات الآلاف من الشركاء الفندقيين لا يزالون البطن الرخوة.

النطاق والسياق وصورة المخاطر الأوسع في قطاع الضيافة

لم تكشف Booking.com عن عدد العملاء الذين تم إبلاغهم. ما هو واضح أن الحادث وقع في عام يشهد فيه قطاع الضيافة هجوماً متواصلاً بالفعل. كشفت Choice Hotels International عن اختراق في 14 يناير 2026 استخدم فيه المهاجمون الهندسة الاجتماعية لتجاوز المصادقة متعددة العوامل والوصول إلى سجلات أصحاب الامتياز. وتظهر تقارير قطاع الضيافة أن 31% من المؤسسات في القطاع تعرضت لاختراق بيانات، وأن متوسط تكلفة اختراق الضيافة بلغ 3.86 مليون دولار في السنوات الأخيرة للقياس.

يطرح تحليل “Trust Dividend” لعام 2026 من Shiji Group الحجة التجارية بوضوح: في صناعة يحجز فيها معظم العملاء عبر القنوات الرقمية أولاً ويثقون بالعلامة التجارية ثانياً، أصبح الأمن السيبراني مركزياً لسلامة العلامة التجارية. الاختراق لا يسرّب البيانات فحسب — بل يحطم الافتراض بأن منصة الحجز وسيط آمن بين مسافر وفندق غير مألوف على الطرف الآخر من العالم.

ما ينبغي على العملاء والمشغلين فعله الآن

بالنسبة للمسافرين الذين لديهم حجوزات Booking.com حديثة أو قادمة، الخطوات الفورية بسيطة لكنها ملحة. أعد تعيين PIN وكلمة مرور Booking.com، فعّل المصادقة الثنائية، وتعامل مع أي رسالة غير مطلوبة تشير إلى حجز محدد — حتى لو بدت صادرة من الفندق — كمشبوهة حتى يتم التحقق منها عبر التطبيق الرسمي أو مكالمة هاتفية مباشرة للمنشأة. لا تنقر أبداً على روابط الدفع داخل رسائل WhatsApp أو SMS أو رسائل البريد الإلكتروني التي تدعي أن حجزك في خطر.

بالنسبة لمشغلي الإقامة ووسطاء السفر، الدرس أصعب. حماية نقاط النهاية ضد infostealers، والمصادقة متعددة العوامل الإلزامية على حسابات extranet، والتدقيق المنتظم لنظافة بيانات الاعتماد لم تعد اختيارية. الهجوم لم يعد يبدأ في المنصة — بل يبدأ في جهاز شريك واحد مصاب.

النمط الأوسع

ما يجعل حادث Booking.com مهماً ليس جدته بل حتميته. ستواصل المنصات الكبيرة التي يعتمد نموذج أعمالها على آلاف الشركاء المرتبطين بشكل فضفاض وراثة الوضع الأمني لأضعف شركائها. تبقى الهندسة الاجتماعية نقطة الدخول المهيمنة، والذكاء الاصطناعي يُصنّع إنتاج الإغراءات المخصصة، ومشهد التهديدات في قطاع الضيافة لعام 2026 ينتقل من ransomware الانتهازي نحو استغلال بيانات مستهدف طويل الذيل.

ستتعافى Booking.com — علامتها التجارية قوية، والبيانات المالية لم تُكشف. المسافرون الأفراد الذين تم تصيّدهم وخسروا آلاف اليورو باستخدام مسارات سفرهم الدقيقة قد لا يكونون محظوظين. التكلفة الحقيقية لاختراق سلسلة التوريد، في هذه الصناعة، تُدفع حجزاً واحداً في كل مرة.

المصادر والقراءات الإضافية

• Booking.com confirms hackers accessed customers’ data — TechCrunch
• New Booking.com data breach forces reservation PIN resets — BleepingComputer
• Booking.com data breach: Customer reservation data exposed — Help Net Security
• Booking.com breach sparks scam wave targeting travelers’ bookings — Cybernews
• Booking.com warns of possible reservation data exposure — The Register
• The Trust Dividend: Strengthening Hospitality’s Digital Integrity in 2026 — Shiji Insights