הבית של ראש הממשלה הפך לדירת נופש? המודעה שעלתה לאתר

תחקיר שערך מגזין הצרכנות הבריטי Which? Travel חשף פרצה במנגנוני הבקרה של Booking, לאחר שתחקירנים הצליחו לפרסם בפלטפורמה מודעת אירוח מזויפת בכתובת 10 דאונינג בלונדון - מעונו הרשמי של ראש ממשלת בריטניה. במסגרת הבדיקה אף הצליחו התחקירנים לקבל תשלום עבור הזמנה שבוצעה באמצעות המודעה.

הניסיון בוצע למרות הצהרות Booking שלפיהן היא מפעילה מערכות בינה מלאכותית מתקדמות ומספר שכבות של אמצעי אבטחה שנועדו לאתר פעילות חשודה ותוכן מזויף. ב-Which? הדגישו כי במקרה הזה מדובר בכתובת המזוהה באופן מובהק עם אחד המבנים המוכרים ביותר בבריטניה.

ב-18 ביוני העלו התחקירנים מודעה תחת הכותרת “דירת חדר בלב לונדון”, ובה הופיעה הכתובת המדויקת של דאונינג 10 וכן תמונה של דלת הכניסה המוכרת למבנה. המודעה הוגדרה כך שהזמנה לא תאושר באופן אוטומטי, אלא תחייב את בעל הנכס לאשר אותה מראש.

חלון ההזמנות נפתח לזמן קצר בלבד, במטרה לאפשר לאחד התחקירנים לבצע הזמנת בדיקה, ולאחר מכן נסגר. אלא שגם בפרק הזמן הקצר שבו ניתן היה לפנות בנוגע לנכס, 14 אנשים יצרו קשר ושאלו אם ניתן יהיה להתארח במעונו הרשמי של ראש ממשלת בריטניה.

לדברי Which?, אחד התחקירנים אף הצליח לבצע תשלום עבור שהייה של שבוע באמצעות החשבון שלו ב-Booking. לטענת המגזין, יותר משישה שבועות לאחר פרסום המודעה, הסכום ששולם עדיין לא הושב.

הבדיקה לא הסתיימה בכך. ב-11 באוגוסט הוסיפו התחקירנים למודעה ביקורת מזויפת, העניקו לה את הציון 10 ותיארו את האירוח כ”יוצא מן הכלל”. לאחר פרסום הביקורת התקבלה הודעה מ-Booking שלפיה היא תועבר לבדיקה של צוות החברה, אולם ב-Which? טענו כי הביקורת הופיעה בפלטפורמה כמעט מיד.

רורי בולנד, עורך Which? Travel, מתח ביקורת על מנגנוני ההגנה של Booking בעקבות הממצאים. לדבריו, אם מערכות הבינה המלאכותית של החברה לא הצליחו לזהות שמדובר בכתובת שבה נמצא מעונו הרשמי של ראש ממשלת בריטניה ולא בדירת נופש, הדבר ממחיש את הקושי של הפלטפורמה להתמודד עם מודעות שעלולות לשמש להונאות. בולנד הזהיר כי מעבר לאופי החריג של המקרה, נוסעים עלולים להיפגע באופן משמעותי ממודעות אירוח מזויפות ולהפסיד סכומי כסף גדולים.

המודעה נשארה בפלטפורמה עד 27 באוגוסט, אז הוסרה, לאחר ש-Which? פנה ל-Booking והעניק לה הזדמנות נוספת להגיב לממצאי התחקיר.

במגזין ציינו כי זו אינה הפעם הראשונה שבה הם בוחנים את מנגנוני האימות של Booking. באוקטובר 2024 ביצע Which? בדיקה נוספת, שבמסגרתה הצליח ליצור מודעת אירוח מזויפת בתוך 15 דקות. לפי המגזין, באותו מקרה חלפו 18 חודשים עד ש-Booking דרשה הוכחת זהות בנוגע למודעה. לאחר שהארגון לא סיפק את המסמכים שהתבקש להציג, המודעה נחסמה - 20 חודשים לאחר שנוצרה.

ב-Booking דחו את האפשרות לראות במקרה שנחשף בתחקיר כמייצג את כלל הפעילות בפלטפורמה. דובר החברה מסר כי מדובר במקרה נקודתי שאינו משקף את חוויית השימוש של מיליוני המודעות והביקורות המתפרסמות באתר.

בחברה הסבירו כי הנכס שהוסיפה Which? לא היה גלוי ופעיל במשך פרק הזמן שנטען, ומאחר שלא היה פתוח להזמנות, חלק ממערכות האיתור האוטומטיות שנועדו לזהות הונאות לא הופעלו באופן שמוביל להסרה מלאה של המודעה.

ב-Booking הוסיפו כי גם ביחס לדוגמאות נוספות שהוצגו על ידי Which?, לא ניתן היה לקבוע שכל המודעות שנבדקו אכן היו מזויפות. החברה מסרה כי היא מפעילה שילוב של בדיקות, מנגנוני אימות וטכנולוגיות בינה מלאכותית, שלטענתה מאפשרים לזהות ולהסיר את רוב המודעות המזויפות בתוך 24 שעות.

עוד ציינו בחברה כי קיימים מנגנונים שנועדו לשמור על אמינות מערכת הביקורות, לצד כלים המגבילים קישורים שנשלחים בהודעות בין שותפי האירוח לאורחים.