Sites falsos de reservas de férias usam chat ao vivo para roubar cartões: o que o seu alojamento deve fazer

Quem procura alojamento para as férias de fim de ano pode estar a reservar num site que copia, ao pormenor, uma plataforma conhecida. A equipa de investigação da Fortra identificou e desativou páginas falsas de reserva que imitam plataformas de alojamento de curta duração para roubar palavras-passe, dados pessoais e números de cartão. Numa delas, um chat de apoio «ao vivo» garantia ao visitante que o pedido do cartão era apenas uma verificação de segurança.

Para um hotel ou um alojamento local, isto não é só um problema dos hóspedes: os burlões copiam fotografias e descrições de propriedades reais, e é o nome do seu negócio que fica associado à burla. Neste artigo resumimos o que foi descoberto e o que pode fazer já no seu site, no seu email e nas suas contas das plataformas.

O que a Fortra encontrou

Num artigo publicado a 4 de novembro de 2026, a equipa FIRE (Fortra Intelligence and Research Experts) descreve vários exemplos de ataques que encontrou e removeu. A Fortra não identifica as plataformas imitadas; fala de «uma plataforma global de experiências e alojamento» e de «marketplaces populares de alojamento de curta duração». O caso foi noticiado pela Help Net Security a 6 de novembro e, em Portugal, pelo TugaTech a 7 de novembro.

Os exemplos descritos são três:

• Página de início de sessão falsa. Um site com um endereço que imita a marca (do tipo «confirm-[...].rooms-home93914[.]space») e imagens iguais às da plataforma pedia número de telefone, email ou credenciais de redes sociais. Se a vítima reutiliza a palavra-passe noutros serviços, essas contas também ficam em risco.
• Reserva «por confirmar». Um ecrã de «confirmar e pagar» mostrava a reserva como não confirmada e exigia uma «verificação obrigatória», sem custo adicional. Pedia nome, email, país e telefone, dados que, segundo a Fortra, podem servir para roubo de identidade, novas tentativas de phishing ou tomada de contas.
• Formulário de cartão com chat ao vivo. Uma página de pagamento pedia os dados do cartão e tinha um chat de apoio que respondia às dúvidas do visitante, apresentava o pedido como uma verificação de segurança de rotina e garantia que o cartão não seria cobrado.

Os anúncios falsos mostravam fotografias, nomes de anfitriões, avaliações, número de comentários, localizações, datas e preços. «Nada nas listagens parecia obviamente suspeito», escreve a Fortra, e é isso que torna a tática eficaz. As mensagens de urgência repetem-se: a reserva não está confirmada, o pagamento não foi processado, a reserva vai ser cancelada, o preço especial é por tempo limitado.

A Fortra diz que está a ver cada vez mais ataques que exploram a pressa de quem reserva em plataformas de alojamento de curta duração. Não divulgou quantos sites removeu nem quantas pessoas foram enganadas, por isso não há números para apresentar.

Porque é que isto toca ao seu negócio

O hóspede enganado não distingue a plataforma falsa da verdadeira, e muitas vezes também não distingue a sua propriedade real da cópia. Quando descobre a burla, é ao alojamento que telefona, é sobre o alojamento que escreve uma avaliação e é o nome do alojamento que aparece quando procura o que aconteceu.

Há ainda um segundo risco, do lado do anfitrião. A Booking.com explica, na sua página de apoio aos parceiros sobre phishing, que as contas da Extranet são um alvo apetecível porque dão acesso a nomes, moradas, dados de cartão e telefones de hóspedes. Os burlões imitam os emails da Booking.com para levar o parceiro a uma página de início de sessão parecida com a verdadeira e ficar com a conta. Se a Booking.com detetar atividade suspeita, desativa de imediato as ligações nas mensagens que o alojamento envia aos hóspedes pela plataforma, precisamente para impedir que alguém se faça passar pelo alojamento e envie links de pagamento fraudulentos.

O que fazer no site e nos canais do seu alojamento

Não consegue impedir que alguém copie as suas fotografias. Mas consegue tornar mais fácil para o hóspede perceber qual é o canal verdadeiro e mais difícil para o burlão usar o seu nome.

• Diga claramente como se paga. Tenha no site uma página curta com os canais oficiais de reserva, o domínio do site, o telefone e a forma de pagamento. Escreva o que nunca pede, por exemplo dados de cartão por chat, WhatsApp ou email, e repita-o nos emails de confirmação. Se trabalha com reservas diretas, veja também o que escrevemos sobre paridade de preços e reservas diretas.
• Mantenha os pagamentos dentro das plataformas. A Airbnb, na sua ajuda sobre pagamentos, diz que pagar fora da plataforma aumenta o risco de fraude e de phishing e que um pagamento por transferência bancária pode indicar uma reserva fraudulenta. Não peça aos hóspedes que saiam da plataforma para pagar.
• Proteja o email do seu domínio. A Booking.com usa DMARC com política restrita para que os servidores de email rejeitem mensagens que se fazem passar por ela. O seu domínio também pode e deve ter SPF, DKIM e DMARC configurados. Explicamos como em Emails no spam: SPF, DKIM e DMARC.
• Feche as contas das plataformas. A Booking.com recomenda escrever à mão o endereço https://admin.booking.com/ e guardá-lo nos favoritos, desconfiar de emails urgentes sem comunicação prévia e confirmar que o remetente termina em «@booking.com». Ative a verificação em dois passos ou chaves de acesso em todas as contas que o permitam.
• Procure o seu nome de vez em quando. Pesquise o nome do alojamento com palavras como «reserva» ou «desconto» e confirme que o Perfil da Empresa no Google aponta para o seu site verdadeiro. Se encontrar uma cópia, guarde capturas de ecrã e denuncie-a à plataforma imitada e à empresa que aloja o site falso.
• Tenha um site que inspire confiança. HTTPS em todas as páginas, um motor de reservas ou pagamento conhecido e um contacto visível ajudam o hóspede a comparar.

Se um hóspede for enganado em seu nome

Responda depressa e por escrito. Confirme ao hóspede quais são os seus canais oficiais e se a reserva existe. A Fortra aconselha quem já introduziu dados de pagamento a contactar de imediato o banco ou o emissor do cartão, mudar as palavras-passe reutilizadas, ativar a autenticação multifator e vigiar movimentos estranhos. Se a sua conta de parceiro foi comprometida, a Booking.com pede que o problema seja reportado no prazo de 24 horas, com cópia do email suspeito, e que mude primeiro a palavra-passe do email e depois a da conta. A burla também pode ser comunicada às autoridades.

Depois, publique um aviso no site e nas redes a lembrar os canais oficiais. Para outros sinais de alerta que pode partilhar com a equipa, veja Email de phishing: cinco sinais antes de clicar. O tema é parecido com o das lojas falsas da Black Friday: o burlão vive da pressa e da confiança numa marca que não é a dele.

Em resumo

A Fortra encontrou e removeu sites que copiam plataformas de alojamento, com anúncios realistas, reservas «por confirmar» e até um chat ao vivo para convencer o visitante a dar o cartão. Para quem gere um hotel ou um alojamento local, a defesa passa por dizer claramente onde e como se paga, manter os pagamentos nos canais oficiais, proteger o email do domínio e as contas das plataformas, e reagir depressa quando um hóspede é enganado.

Quer saber como está o seu site?

A nossa auditoria gratuita analisa a segurança e o desempenho do seu site e mostra o que corrigir. Para rever as reservas diretas, o HTTPS e a configuração do email do seu alojamento, escreva para info@marcaweb.pt ou ligue para o +351 920 260 897.