Booking.com 2026年数据泄露事件

发给客户的通知，以及根据公司声明撰写的报道，列出了姓名、电子邮件地址、电话号码、预订详情，以及住客可能通过 Booking.com 向住宿方提供的信息。预订详情可能包含出行日期、住宿设施名称、预订编号或住宿相关信息等背景内容，这些信息可能使钓鱼诈骗更具迷惑性。

Booking.com 表示，财务或支付信息未被访问。TechCrunch 也根据公司后续的澄清更新了报道，说明实体地址并未被获取。本记录未将信用卡数据、银行信息、实体地址、密码或账户身份验证数据列为泄露字段。公司更换预订 PIN 码的决定是一项保护措施，仅凭这一举措，不应认定攻击者已获取这些 PIN 码。

在2026年4月11日至12日的周末，Booking.com 客户开始在网上分享收到的通知。TechCrunch 和 SecurityWeek 于4月13日刊登了公司的确认声明，Help Net Security 则在次日汇总了更多细节。公司没有披露可疑活动最初开始或首次被发现的具体日期和时间。

公司表示，发现该活动后迅速采取了行动，彻底控制了事件，并为受影响的预订生成了新的 PIN 码。部分收到通知的客户称，他们收到的警示涉及当前和过去的预订，但这些个人陈述无法确定事件的整体规模。Booking.com 未公布受影响国家、住宿设施、预订或客户的具体数量，因此受影响总人数仍不明确。

Booking.com 没有说明未经授权的访问是通过其核心基础设施中的漏洞、住宿合作伙伴账户、客服支持工具、被攻陷的会话，还是其他途径实现的。SecurityWeek 特别指出，Booking.com 自身的系统是否遭到入侵仍不明确。因此，本记录不会将事件的技术源头表述为既定事实。这起事件被归类为预订数据遭到未经授权的访问，不会凭空补充公司未披露的攻击方式。

公司还澄清，客户账户并未被攻破。这一区别很重要，因为访问预订信息，并不等同于获取用户的 Booking.com 密码或已经过身份验证的账户会话。攻击者即使没有账户凭据，也可能看到姓名、电话号码、电子邮件地址和出行背景信息。

即使不包含支付数据，预订信息也可能被用于定向诈骗。犯罪分子若知道真实的酒店、出行日期、电话号码或预订背景，就可能发送看似可信的 WhatsApp 消息、电子邮件或短信，要求额外付款、验证银行卡或再次进行银行转账。部分客户报告称收到了包含详细信息的诈骗消息，但公司并未确认所有被报告的消息都源于这起事件。钓鱼诈骗风险确实存在，但每一次具体诈骗尝试与本事件之间的关联仍未得到证实。

收到消息的人应仅在 Booking.com 应用内查看预订，或自行输入官方网站地址进行查看，并避免点击消息中嵌入的付款链接。对于意料之外的银行转账、银行卡号、验证码或 PIN 码请求，应通过独立渠道核实。Booking.com 提醒客户，公司不会通过电子邮件、电话、WhatsApp 或 SMS 索取信用卡信息，也不会要求客户按照不同于预订确认中付款说明的方式进行银行转账。

Booking.com 披露的具体措施包括控制可疑活动、更新受影响预订的 PIN 码，以及通知相关住客。更换 PIN 码旨在降低旧的预订访问信息被滥用的可能性。公司在强调财务数据未被访问的同时，也敦促客户警惕钓鱼诈骗。公开声明没有说明由哪家服务提供商开展取证调查、攻击者是谁，也没有介绍数据被访问时所经过系统的架构。

Booking.com 的历史预订量、全球客户规模，以及报道中提到的推测性数字，都不是经过核实的本次事件受影响总数。同样，网上被归于某个威胁组织的说法，由于未获公司证实，也未被用作统计数字或证据。如果今后出现向监管机构提交的文件，或公司发布更详细的更新，应根据这些新文件修订受影响数量和范围。

本条目记录了一起真实发生的未经授权访问事件，其依据是 Booking.com 对记者的直接回应；对于公司未披露的技术细节，本条目不作确定性表述。受影响数量未知，并不意味着事件规模很小，而是意味着尚未公布可信的总数。所列数据类别涉及的是收到通知、范围有限但规模未披露的群体，而不是所有曾使用过 Booking.com 的人。

已核实的核心事实是，未经授权的第三方能够访问部分住客的预订信息。支付数据泄露及客户账户被攻破均未得到确认，事件已得到控制，相关预订的 PIN 码也已更改。最有用的防范措施是：即使意料之外的付款消息包含真实的预订详情，也不要轻信，并通过官方应用或另行获取的联系渠道核实每一项请求。