Violação de dados da Booking.com em 2026

As notificações enviadas aos clientes e as reportagens baseadas nas declarações da empresa listaram nomes, endereços de e-mail, números de telefone, detalhes das reservas e informações que um hóspede possa ter compartilhado com um estabelecimento de hospedagem por meio da Booking.com. Os detalhes de uma reserva podem incluir informações de contexto, como datas de viagem, nome do estabelecimento, referência da reserva ou informações relacionadas à hospedagem que podem tornar uma tentativa de phishing convincente.

A Booking.com afirmou que informações financeiras ou de pagamento não foram acessadas. O TechCrunch também atualizou sua reportagem, com base em um esclarecimento posterior da empresa, para informar que endereços físicos não foram obtidos. Este registro não inclui dados de cartões de crédito, dados bancários, endereços físicos, senhas ou dados de autenticação de contas entre os campos comprometidos. A decisão da empresa de substituir os códigos PIN das reservas foi uma medida de proteção e não deve, por si só, ser tratada como prova de que os invasores obtiveram esses códigos PIN.

Clientes da Booking.com começaram a compartilhar mensagens de notificação na internet durante o fim de semana de 11–12 de abril de 2026. O TechCrunch e a SecurityWeek publicaram a confirmação da empresa em 13 de abril, e a Help Net Security apresentou um resumo com mais detalhes no dia seguinte. A empresa não divulgou o dia nem o horário em que a atividade suspeita começou ou foi detectada pela primeira vez.

A empresa afirmou que agiu rapidamente após descobrir a atividade, conteve totalmente o problema e gerou novos códigos PIN para as reservas afetadas. Alguns clientes notificados relataram ter recebido alertas relativos tanto a reservas atuais quanto a reservas anteriores, mas esses relatos individuais não permitem determinar a dimensão total do incidente. A Booking.com não publicou uma discriminação numérica dos países, estabelecimentos, reservas ou clientes afetados, de modo que o total de pessoas afetadas permanece desconhecido.

A Booking.com não explicou se o acesso não autorizado ocorreu por meio de uma vulnerabilidade em sua infraestrutura central, de uma conta de um parceiro de hospedagem, de uma ferramenta de suporte, de uma sessão comprometida ou de outra via. A SecurityWeek destacou que ainda não estava claro se os próprios sistemas da Booking.com haviam sido invadidos. Por isso, a origem técnica não é apresentada como fato neste registro. O evento é classificado como acesso não autorizado a dados de reservas, sem atribuir a ele um método de ataque que não foi divulgado.

A empresa também esclareceu que as contas dos clientes não haviam sido invadidas. Essa distinção é importante porque acessar informações de reservas não é o mesmo que obter a senha de um usuário da Booking.com ou uma sessão autenticada de sua conta. Um invasor poderia ver um nome, um número de telefone, um endereço de e-mail e informações sobre a viagem sem ter as credenciais da conta.

As informações de reservas podem facilitar fraudes direcionadas mesmo quando não contêm dados de pagamento. Um criminoso que conheça o hotel verdadeiro, as datas da viagem, o número de telefone ou o contexto da reserva pode enviar uma mensagem convincente por WhatsApp, e-mail ou SMS solicitando um pagamento extra, a verificação de um cartão ou uma nova transferência bancária. Alguns clientes relataram mensagens de golpe com informações detalhadas, mas a empresa não confirmou que todas as mensagens relatadas tenham resultado deste incidente. O risco de phishing é real, mas a ligação com cada tentativa individual de fraude permanece sem comprovação.

Os destinatários devem consultar as reservas apenas no aplicativo da Booking.com ou digitando por conta própria o endereço do site oficial, e devem evitar links de pagamento inseridos em mensagens. Uma solicitação inesperada de transferência bancária, número de cartão, código de verificação ou PIN deve ser verificada por um canal independente. A Booking.com lembrou aos clientes que não solicitará dados de cartão de crédito por e-mail, telefone, WhatsApp ou SMS, nem pedirá uma transferência bancária diferente das instruções de pagamento apresentadas na confirmação da reserva.

As medidas concretas divulgadas pela Booking.com foram conter a atividade suspeita, renovar os códigos PIN das reservas afetadas e notificar os hóspedes envolvidos. A substituição dos códigos PIN teve como objetivo reduzir a possibilidade de uso indevido das informações antigas de acesso às reservas. Ao mesmo tempo que enfatizou que os dados financeiros não foram acessados, a empresa pediu aos clientes que permanecessem atentos a tentativas de phishing. As declarações públicas não identificaram um prestador de serviços de análise forense, um invasor ou a arquitetura do sistema por meio do qual os dados foram acessados.

O volume histórico de reservas da Booking.com, sua base global de clientes e os números especulativos mencionados na cobertura não são totais verificados deste incidente. Da mesma forma, alegações publicadas na internet e atribuídas a um grupo de agentes de ameaça não foram usadas como números nem como evidência, pois a empresa não as validou. Se posteriormente surgir um documento apresentado a um órgão regulador ou uma atualização mais detalhada da empresa, a contagem e o escopo deverão ser revistos com base nessa nova documentação.

Este registro documenta um evento real de acesso não autorizado, respaldado pelas respostas diretas da Booking.com a jornalistas, sem apresentar como certos os detalhes técnicos que a empresa não divulgou. O desconhecimento do número de afetados não significa que o incidente tenha sido pequeno; significa que nenhum total confiável foi publicado. As categorias de dados listadas se referem ao grupo limitado, de tamanho não divulgado, que recebeu as notificações, e não a todas as pessoas que já usaram a Booking.com.

O fato central verificado é que terceiros não autorizados podiam acessar informações de reservas de alguns hóspedes. O comprometimento de dados de pagamento e de contas de clientes não foi confirmado, o problema foi contido e os códigos PIN das reservas em questão foram alterados. A medida de proteção mais útil é desconfiar de mensagens inesperadas que solicitem pagamentos, mesmo quando contenham detalhes verdadeiros da reserva, e verificar cada solicitação pelo aplicativo oficial ou por um canal de contato obtido de forma independente.