Booking.com में 2026 की डेटा सेंध

ग्राहकों को भेजी गई सूचनाओं और कंपनी के बयानों पर आधारित रिपोर्टों में नाम, ईमेल पते, फ़ोन नंबर, बुकिंग का विवरण और वह जानकारी शामिल थी जो किसी मेहमान ने Booking.com के माध्यम से किसी आवास प्रदाता के साथ साझा की हो सकती है। आरक्षण के विवरण में यात्रा की तारीखें, ठहरने की जगह का नाम, बुकिंग संदर्भ या आवास से जुड़ी जानकारी जैसी बातें हो सकती हैं, जिनसे फ़िशिंग संदेश विश्वसनीय लग सकते हैं।

Booking.com ने कहा कि वित्तीय या भुगतान संबंधी जानकारी तक पहुँच नहीं बनाई गई थी। कंपनी के बाद के स्पष्टीकरण के आधार पर TechCrunch ने भी अपनी रिपोर्ट अपडेट की और बताया कि भौतिक पते नहीं लिए गए थे। इस रिकॉर्ड में क्रेडिट कार्ड डेटा, बैंकिंग विवरण, भौतिक पते, पासवर्ड या खाते के प्रमाणीकरण से जुड़े डेटा को सेंध से प्रभावित फ़ील्ड में शामिल नहीं किया गया है। आरक्षण के PIN बदलने का कंपनी का निर्णय एक सुरक्षात्मक उपाय था। केवल इस निर्णय को इस बात का प्रमाण नहीं माना जाना चाहिए कि हमलावरों ने वे PIN हासिल कर लिए थे।

Booking.com के ग्राहकों ने 11–12 अप्रैल 2026 के सप्ताहांत में सूचना संदेश ऑनलाइन साझा करने शुरू किए। TechCrunch और SecurityWeek ने 13 अप्रैल को कंपनी की पुष्टि प्रकाशित की, और Help Net Security ने अगले दिन अतिरिक्त विवरण का सार प्रस्तुत किया। कंपनी ने यह नहीं बताया कि संदिग्ध गतिविधि पहली बार किस दिन या समय शुरू हुई थी या पहली बार कब उसका पता चला था।

कंपनी ने कहा कि गतिविधि का पता चलने के बाद उसने तेज़ी से कार्रवाई की, समस्या को पूरी तरह नियंत्रित किया और प्रभावित आरक्षणों के लिए नए PIN बनाए। सूचना पाने वाले कुछ ग्राहकों ने बताया कि उन्हें मौजूदा और पिछली, दोनों तरह की बुकिंग से संबंधित चेतावनियाँ मिली थीं, लेकिन इन व्यक्तिगत विवरणों से घटना का कुल दायरा तय नहीं किया जा सकता। Booking.com ने प्रभावित देशों, आवास प्रतिष्ठानों, आरक्षणों या ग्राहकों की अलग-अलग संख्या प्रकाशित नहीं की, इसलिए प्रभावित लोगों की कुल संख्या अज्ञात है।

Booking.com ने यह नहीं बताया कि अनधिकृत पहुँच उसके केंद्रीय बुनियादी ढाँचे की किसी कमज़ोरी, किसी आवास भागीदार के खाते, किसी सहायता टूल, किसी सत्र में सेंध या किसी अन्य रास्ते से हुई थी। SecurityWeek ने विशेष रूप से कहा कि यह अब भी स्पष्ट नहीं था कि Booking.com के अपने सिस्टम में सेंध लगी थी या नहीं। इसलिए इस रिकॉर्ड में घटना के तकनीकी स्रोत को स्थापित तथ्य के रूप में प्रस्तुत नहीं किया गया है। किसी अघोषित हमले के तरीके की कल्पना किए बिना, इस घटना को आरक्षण डेटा तक अनधिकृत पहुँच के रूप में वर्गीकृत किया गया है।

कंपनी ने यह भी स्पष्ट किया कि ग्राहक खातों में सेंध नहीं लगी थी। यह अंतर महत्वपूर्ण है, क्योंकि आरक्षण संबंधी जानकारी तक पहुँच बनाना किसी उपयोगकर्ता का Booking.com पासवर्ड या प्रमाणित खाता सत्र हासिल करने के समान नहीं है। कोई हमलावर खाते में प्रवेश के लिए ज़रूरी जानकारी हासिल किए बिना भी नाम, फ़ोन नंबर, ईमेल पता और यात्रा से जुड़ी जानकारी देख सकता था।

आरक्षण संबंधी जानकारी का इस्तेमाल लक्षित धोखाधड़ी में किया जा सकता है, भले ही उसमें भुगतान से जुड़ा कोई डेटा न हो। वास्तविक होटल, यात्रा की तारीखें, फ़ोन नंबर या बुकिंग से जुड़ी जानकारी जानने वाला अपराधी अतिरिक्त भुगतान, कार्ड सत्यापन या नए बैंक ट्रांसफ़र की माँग करते हुए कोई विश्वसनीय लगने वाला WhatsApp संदेश, ईमेल या टेक्स्ट संदेश भेज सकता है। कुछ ग्राहकों ने विस्तृत जानकारी वाले धोखाधड़ी के संदेश मिलने की बात कही, लेकिन कंपनी ने यह पुष्टि नहीं की कि रिपोर्ट किया गया हर संदेश इसी घटना का परिणाम था। फ़िशिंग का जोखिम वास्तविक है, जबकि धोखाधड़ी के हर अलग-अलग प्रयास का इस घटना से संबंध अब भी अप्रमाणित है।

संदेश पाने वालों को अपने आरक्षण केवल Booking.com ऐप में या आधिकारिक वेबसाइट का पता स्वयं टाइप करके देखना चाहिए और संदेशों में दिए गए भुगतान लिंक से बचना चाहिए। बैंक ट्रांसफ़र, कार्ड नंबर, सत्यापन कोड या PIN की किसी अप्रत्याशित माँग की पुष्टि स्वतंत्र माध्यम से करनी चाहिए। Booking.com ने ग्राहकों को याद दिलाया कि वह ईमेल, टेलीफ़ोन, WhatsApp या SMS के ज़रिए क्रेडिट कार्ड का विवरण नहीं माँगेगा और न ही बुकिंग की पुष्टि में दिए गए भुगतान निर्देशों से अलग किसी बैंक ट्रांसफ़र के लिए कहेगा।

Booking.com ने जिन ठोस उपायों की जानकारी दी, वे थे संदिग्ध गतिविधि को नियंत्रित करना, प्रभावित आरक्षणों के PIN नंबर बदलना और संबंधित मेहमानों को सूचित करना। PIN बदलने का उद्देश्य आरक्षण तक पहुँच से जुड़ी पुरानी जानकारी के दुरुपयोग की संभावना कम करना था। कंपनी ने इस बात पर ज़ोर दिया कि वित्तीय डेटा तक पहुँच नहीं बनाई गई थी, साथ ही ग्राहकों से फ़िशिंग को लेकर सतर्क रहने का आग्रह किया। सार्वजनिक बयानों में किसी फ़ॉरेंसिक सेवा प्रदाता, हमलावर या उस सिस्टम की संरचना की पहचान नहीं बताई गई जिसके ज़रिए डेटा तक पहुँच बनाई गई थी।

Booking.com की ऐतिहासिक बुकिंग संख्या, उसका वैश्विक ग्राहक आधार और समाचार रिपोर्टों में उल्लिखित अनुमानित आँकड़े इस घटना से प्रभावित लोगों या आरक्षणों की सत्यापित कुल संख्या नहीं हैं। इसी तरह, एक हमलावर समूह से जोड़े गए ऑनलाइन दावों को न तो संख्या के आधार के रूप में और न ही सबूत के तौर पर इस्तेमाल किया गया, क्योंकि कंपनी ने उनकी पुष्टि नहीं की थी। यदि बाद में नियामक के पास दाखिल कोई दस्तावेज़ या कंपनी का अधिक विस्तृत अपडेट सामने आता है, तो उस नए दस्तावेज़ के आधार पर संख्या और दायरे को संशोधित किया जाना चाहिए।

यह प्रविष्टि अनधिकृत पहुँच की एक वास्तविक घटना दर्ज करती है, जिसकी पुष्टि पत्रकारों को दिए गए Booking.com के सीधे जवाबों से होती है। साथ ही, यह उन तकनीकी विवरणों के बारे में निश्चितता जताने से बचती है जिन्हें कंपनी ने सार्वजनिक नहीं किया। प्रभावितों की संख्या अज्ञात होने का अर्थ यह नहीं है कि घटना छोटी थी; इसका अर्थ है कि कोई विश्वसनीय कुल संख्या प्रकाशित नहीं हुई है। यहाँ दी गई डेटा श्रेणियाँ उस सीमित समूह से संबंधित हैं जिसे सूचनाएँ मिली थीं और जिसका आकार नहीं बताया गया है, न कि हर उस व्यक्ति से जिसने कभी Booking.com का इस्तेमाल किया है।

मुख्य सत्यापित तथ्य यह है कि अनधिकृत तीसरे पक्ष कुछ मेहमानों की बुकिंग संबंधी जानकारी तक पहुँच बना सकते थे। भुगतान डेटा और ग्राहक खातों में सेंध की पुष्टि नहीं हुई, समस्या को नियंत्रित कर लिया गया और संबंधित आरक्षणों के PIN बदल दिए गए। बचाव का सबसे उपयोगी कदम यह है कि अप्रत्याशित भुगतान संदेशों पर भरोसा न किया जाए, भले ही उनमें आरक्षण का वास्तविक विवरण हो, और हर माँग की पुष्टि आधिकारिक ऐप या अलग से प्राप्त संपर्क माध्यम के ज़रिए की जाए।