Booking.com thừa nhận chuyển toàn bộ thông tin thẻ tín dụng cho khách sạn

[whf]

Trong vụ khách hàng đặt phòng ở Phú Quốc qua Agoda, trang đặt phòng Booking.com thừa nhận gửi toàn bộ thông tin thẻ tín dụng của khách hàng cho khách sạn.

Trong phản hồi gửi một cơ quan truyền thông, trang đặt phòng khách sạn Booking.com thừa nhận gửi toàn bộ thông tin thẻ tín dụng của khách đặt phòng qua trang này đến các khách sạn, nhằm “đảm bảo đối tác của chúng tôi nhận được dữ liệu cần thiết để hoạt động kinh doanh một cách an toàn và đáng tin cậy”.

Một người làm trong ngành khách sạn cho rằng Booking.com hay Agoda.com gửi toàn bộ thông tin thẻ tín dụng cho khách sạn nhằm khi khách huỷ đặt phòng hay trong các trường hợp khác khách sạn có thể chủ động trừ phí vào thẻ tín dụng của khách.​

Toàn bộ thông tin thẻ tín dụng của khách hàng được khách sạn in ra - Ảnh: Hiền Vũ
​

Trước đó, mạng xã hội xôn xao khi người có tên Hiền Vũ tố cáo toàn bộ thông tin thẻ tín dụng anh đăng ký trên trang Agoda.com đều thể hiện rõ trên một tờ giấy do nhân viên khách sạn in ra. Với thông tin thẻ tín dụng thể hiện như vậy, kẻ xấu hoàn toàn có thể dùng nó để mua hàng mà chủ thẻ không biết, gây tổn thất cho người sở hữu thẻ tín dụng.

Ông Hiền Vũ đặt khách sạn ở Phú Quốc thông qua trang Agoda.com nhưng sau đó thông tin đặt phòng được Agoda chuyển sang cho Booking.com.

Trong thông tin phản hồi về vụ việc, Booking.com cho biết “chuyển toàn bộ thông tin thẻ tín dụng đến đơn vị nhận đặt phòng một cách an toàn thông qua mô hình được bảo vệ bằng mật khẩu, sử dụng Xác thực 2 yếu tố (Two-factor authentication)”, “nhưng sau đó phụ thuộc vào các đơn vị nhận đặt phòng để đảm bảo rằng họ tuân thủ tiêu chuẩn bảo mật cao khi họ có thông tin khách hàng”.

Theo phản hồi này, thông tin thẻ gửi đến các khách sạn đối tác được bảo vệ bằng mật khẩu nhưng không đề cập thông tin thẻ có được mã hoá hay không. Nhiều khả năng thông tin thẻ không được mã hoá nên nhân viên khách sạn mới có đầy đủ chi tiết về thẻ tín dụng của khách đã đăng ký trên các trang đặt phòng. Việc thông tin này bị lộ hay không tuỳ vào tuỳ vào tiêu chuẩn bảo mật của khách sạn.

Người làm trong ngành khách sạn nói trên cho biết tất cả thông tin thẻ tín dụng đều được khách sạn bảo mật. Tuy nhiên, trong trường hợp của ông Vũ Hiền, nhân viên khách sạn hoàn toàn có thể nhìn thấy chi tiết thẻ và in ra.

“Tất cả các đối tác của Booking.com cũng đồng ý với chính sách yêu cầu các đơn vị nhận đặt phòng được liệt kê với chúng tôi tuân theo các quy trình xử lý dữ liệu nhất định nhằm bảo vệ khách hàng trong khi quản lý kinh doanh hiệu quả một cách có trách nhiệm”, Booking phản hồi. Trang đặt phòng cho biết đang điều tra trường hợp này, “trường hợp hiếm hoi mà chúng tôi phát hiện được hành vi không đúng của đối tác”.

Trong một bài viết hồi tuần trước trên mạng xã hội, ông Hiền Vũ cho biết đặt phòng ở khách sạn ở Phú Quốc thông qua trang Agoda.com. Sau đó, email xác nhận thông tin đặt phòng cho biết ông Hiền đặt qua Booking.com, tức Agoda.com đã chuyển thông tin qua Booking.com.

Ngày 14/1 khi đến nhận phòng tại resort, ông Hiền vô tình thấy tờ giấy do nhân viên in ra, trong đó có toàn bộ thông tin thẻ tín dụng, gồm họ tên, số thẻ, số CVC, ngày hết hạn thẻ - tức toàn bộ thông tin đầy đủ để kẻ xấu có thể lợi dụng để sử dụng tiền trong thẻ.

Sự việc nhận được sự quan tâm rất lớn của cộng đồng, do hầu hết người dùng đều tin rằng thông tin thẻ của họ khi nhập lên các trang uy tín như Agoda.com sẽ được bảo mật, mã hoá, không có chuyện thông tin được gửi đến khách sạn mà nhân viên khách sạn có thể in ra như thế.

Ictnews​

 

Anh em WhiteHat có dùng dịch vụ của Agoda/Booking không và các bạn nghĩ sao về vụ này?

 

Bên cung cấp dịch vụ đặt phòng vì không có giải pháp thu tiền từ khách hàng (trong trường hợp khách huỷ đặt phòng hay trong các trường hợp khác), nên đã dùng giải pháp công khai luôn thông tin thẻ tín dụng cho khách sạn, để khách sạn trừ tiền? Nếu như thế thì bên đặt phòng quá "khôn vặt", vừa đẩy rủi ro cho khách hàng vừa đẩy trách nhiệm cho đối tác (khách sạn). Hic!

 

Anh em WhiteHat có dùng dịch vụ của Agoda/Booking không và các bạn nghĩ sao về vụ này?

Em đã từng dùng Booking.com để đặt phòng, tuy nhiên mình chọn đặt phòng không cần thẻ tín dụng thanh toán sau kỳ nghỉ để tránh lộ lọt thông tin mà vẫn có được khách sạn mong muốn

 

Cần hạn chế gửi/nhập thông tin thẻ trên các trang web. Đặt niềm tin nhầm chỗ là hay đau đớn lắm

 

Anh chị em khi sử dụng Booking hoặc các dịch vụ tương tự có thể tham khảo cách trên. Ngoài ra có thể cân nhắc tạo một thẻ dùng riêng cho những dịch vụ như thế này và chỉ để tiền vừa đủ dùng, khi cần thì chuyển vào thêm để giảm rủi ro nếu có sự cố xảy ra.