خرق بيانات Booking.com لعام 2026

ذكرت إشعارات العملاء والتقارير المستندة إلى تصريحات الشركة أن البيانات شملت الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف وتفاصيل الحجوزات، إلى جانب المعلومات التي ربما شاركها الضيف مع مكان الإقامة عبر Booking.com. وقد تتضمن تفاصيل الحجز معلومات سياقية مثل مواعيد السفر واسم مكان الإقامة ومرجع الحجز، أو معلومات متعلقة بالإقامة يمكن أن تجعل رسائل التصيّد الاحتيالي مقنعة.

قالت Booking.com إنه لم يتم الوصول إلى معلومات مالية أو معلومات دفع. كما حدّثت TechCrunch تقريرها، استنادًا إلى توضيح لاحق من الشركة، لتذكر أن العناوين الفعلية لم تُؤخذ. ولا يُدرج هذا السجل بيانات بطاقات الائتمان أو التفاصيل المصرفية أو العناوين الفعلية أو كلمات المرور أو بيانات مصادقة الحسابات ضمن الحقول التي تعرضت للاختراق. وكان قرار الشركة باستبدال أرقام PIN للحجوزات إجراءً وقائيًا، ولا ينبغي اعتباره وحده دليلًا على أن المهاجمين حصلوا على تلك الأرقام.

بدأ عملاء Booking.com مشاركة رسائل الإخطار عبر الإنترنت خلال عطلة نهاية الأسبوع، يومي 11–12 أبريل 2026. ونشرت TechCrunch وSecurityWeek تأكيد الشركة في 13 أبريل، ثم عرضت Help Net Security ملخصًا لتفاصيل إضافية في اليوم التالي. ولم تكشف الشركة عن اليوم أو الوقت الذي بدأ فيه النشاط المشبوه أو رُصد فيه للمرة الأولى.

قالت الشركة إنها تحركت بسرعة بعد اكتشاف النشاط، واحتوت المشكلة بالكامل، وأنشأت أرقام PIN جديدة للحجوزات المتضررة. وأفاد بعض العملاء الذين تلقوا إخطارات بأنهم تلقوا تحذيرات تتعلق بحجوزات حالية وسابقة، لكن هذه الروايات الفردية لا تكفي لتحديد الحجم الإجمالي للحادثة. ولم تنشر Booking.com أعدادًا تفصيلية للبلدان أو أماكن الإقامة أو الحجوزات أو العملاء المتضررين، ولذلك ظل العدد الإجمالي للمتضررين مجهولًا.

لم توضّح Booking.com ما إذا كان الوصول غير المصرح به قد تم عبر ثغرة في بنيتها التحتية المركزية، أو حساب لأحد شركائها من أماكن الإقامة، أو أداة دعم، أو جلسة مخترقة، أو مسار آخر. وأشارت SecurityWeek تحديدًا إلى أنه ظل من غير الواضح ما إذا كانت أنظمة Booking.com نفسها قد تعرضت للاختراق. لذلك لا يعرض هذا السجل منشأ الحادثة التقني على أنه حقيقة ثابتة. وتُصنّف الحادثة بوصفها وصولًا غير مصرح به إلى بيانات الحجوزات، من دون افتراض أسلوب هجوم لم يُكشف عنه.

أوضحت الشركة أيضًا أن حسابات العملاء لم تُخترق. وهذا تمييز مهم، لأن الوصول إلى معلومات الحجز لا يعني الحصول على كلمة مرور المستخدم في Booking.com أو على جلسة حسابه التي تمت مصادقتها. فقد يتمكن المهاجم من الاطلاع على اسم ورقم هاتف وعنوان بريد إلكتروني ومعلومات عن السفر من دون أن يمتلك بيانات الدخول إلى الحساب.

يمكن استخدام معلومات الحجوزات في عمليات احتيال موجّهة حتى إن لم تتضمن بيانات دفع. فالمجرم الذي يعرف الفندق الفعلي أو مواعيد السفر أو رقم الهاتف أو تفاصيل الحجز يستطيع إرسال رسالة مقنعة عبر WhatsApp أو البريد الإلكتروني أو الرسائل النصية يطلب فيها دفعة إضافية، أو التحقق من البطاقة، أو تحويلًا مصرفيًا جديدًا. وأفاد بعض العملاء بتلقي رسائل احتيالية تتضمن تفاصيل دقيقة، لكن الشركة لم تؤكد أن كل رسالة أُبلغ عنها نتجت عن هذه الحادثة. وخطر التصيّد الاحتيالي حقيقي، بينما لا تزال صلة كل محاولة احتيال فردية بالحادثة غير مثبتة.

ينبغي لمن يتلقون هذه الرسائل مراجعة حجوزاتهم فقط عبر تطبيق Booking.com أو بكتابة عنوان الموقع الرسمي بأنفسهم، وتجنب روابط الدفع المضمّنة في الرسائل. ويجب التحقق عبر قناة مستقلة من أي طلب غير متوقع لتحويل مصرفي أو رقم بطاقة أو رمز تحقق أو رقم PIN. وذكّرت Booking.com العملاء بأنها لن تطلب تفاصيل بطاقات الائتمان عبر البريد الإلكتروني أو الهاتف أو WhatsApp أو SMS، ولن تطلب تحويلًا مصرفيًا يخالف تعليمات الدفع الواردة في تأكيد الحجز.

تمثلت الإجراءات المحددة التي كشفت عنها Booking.com في احتواء النشاط المشبوه، وتجديد أرقام PIN للحجوزات المتضررة، وإخطار الضيوف المعنيين. وكان استبدال أرقام PIN يهدف إلى تقليل احتمال إساءة استخدام معلومات الوصول القديمة إلى الحجوزات. ومع تأكيد الشركة عدم الوصول إلى البيانات المالية، حثّت العملاء على توخي الحذر من التصيّد الاحتيالي. ولم تحدد التصريحات العامة جهة تتولى التحقيق الجنائي الرقمي، أو هوية المهاجم، أو بنية النظام الذي جرى الوصول إلى البيانات من خلاله.

لا يمثل حجم حجوزات Booking.com التاريخي، ولا قاعدة عملائها العالمية، ولا الأرقام التخمينية الواردة في التغطية الإعلامية، أعدادًا إجمالية موثقة لهذه الحادثة. وبالمثل، لم تُستخدم الادعاءات المنشورة على الإنترنت والمنسوبة إلى مجموعة تهديد كمصدر لعدد المتضررين أو كدليل، لأن الشركة لم تؤكد صحتها. وإذا ظهر لاحقًا مستند مقدّم إلى جهة تنظيمية أو تحديث أكثر تفصيلًا من الشركة، فينبغي مراجعة العدد والنطاق استنادًا إلى تلك الوثائق الجديدة.

يوثّق هذا السجل حادثة فعلية لوصول غير مصرح به، تدعمها ردود Booking.com المباشرة على الصحفيين، مع تجنب الجزم بتفاصيل تقنية لم تكشف عنها الشركة. ولا يعني عدم معرفة عدد المتضررين أن الحادثة كانت صغيرة؛ بل يعني أنه لم يُنشر عدد إجمالي موثوق. وتشير فئات البيانات المذكورة إلى المجموعة المحدودة التي تلقت إخطارات، والتي لم يُكشف عن حجمها، وليس إلى كل من سبق له استخدام Booking.com.

الحقيقة الأساسية التي جرى التحقق منها هي أن أطرافًا خارجية غير مصرح لها تمكنت من الوصول إلى معلومات حجوزات تخص بعض الضيوف. ولم يتأكد اختراق بيانات الدفع أو حسابات العملاء، وقد احتُويت المشكلة وغُيّرت أرقام PIN للحجوزات المعنية. وأهم خطوة وقائية هي عدم الوثوق برسائل الدفع غير المتوقعة، حتى عندما تتضمن تفاصيل حجز صحيحة، والتحقق من كل طلب عبر التطبيق الرسمي أو من خلال قناة اتصال جرى الحصول عليها بصورة مستقلة.