Kommissionen undersøger Booking.com for svindel med falske hoteller og phishing

Europa-Kommissionen har onsdag 21. oktober åbnet en formel sag mod Booking.com. Kommissionen vil undersøge, om rejseplatformen har gjort nok for at stoppe falske overnatningssteder og phishing-svindel mod gæsterne, og om den skjuler, at nogle hoteller betaler for at stå øverst i søgeresultaterne.

Det fremgår af Kommissionens pressemeddelelse. Sagen køres efter forordningen om digitale tjenester (på engelsk Digital Services Act, DSA), som Europa-Parlamentet forhandlede på plads med danske Christel Schaldemose (S) som ordfører. Booking.com blev udpeget som "meget stor onlineplatform" efter forordningen 25. april 2023. Det betyder, at det er Kommissionen og ikke de nationale myndigheder, der fører tilsyn med de skærpede krav til platformen.

For danske rejsende er sagen ikke teoretisk. I foråret kunne TjekDet dokumentere, at danske hotelgæster fik målrettede beskeder fra svindlere, der kendte deres navn og deres kommende ophold. Svindlerne havde blandt andet overtaget hotellers konti på Booking.com og kunne skrive til gæsterne direkte fra hotellets egen konto. I april bekræftede Booking.com desuden over for TechCrunch, at uvedkommende havde fået adgang til nogle gæsters bookingoplysninger, skrev Computerworld.

Tre spor i sagen

Ifølge pressemeddelelsen undersøger Kommissionen tre ting:

• Falske og ulovlige opslag. Har Booking.com vurderet og begrænset risikoen for opslag med overnatningssteder, der ikke findes, svindlere, der udgiver sig for at være andre, og tilbud, der ikke overholder reglerne? Og fjerner platformen dem effektivt?
• Phishing med gæsternes data. Kommissionen ser på, hvordan reservations- og gæsteoplysninger deles med overnatningsstederne, og hvordan Booking.coms beskedtjeneste er bygget op. Spørgsmålet er, om der er nok sikkerhed til at forhindre, at data bliver misbrugt til phishing og falske betalingskrav.
• Betalte placeringer uden reklamemærke. Hoteller kan komme højere op i søgeresultaterne ved at betale en højere kommission. Efter forordningen skal brugerne kunne se, at sådan et "boostet" opslag er en reklame, hvem der har betalt for den, og hvorfor de ser den.

Hvis Kommissionen kan bevise overtrædelserne, er der tale om brud på artikel 34 og 35 om risikovurdering og risikobegrænsning og på artikel 26, stk. 1, om reklamer.

Sagen bygger på en forundersøgelse, hvor Kommissionen har gennemgået Booking.coms risikorapporter for 2026 og de tre foregående år, selskabets gennemsigtighedsrapporter og dets svar på to formelle anmodninger om oplysninger fra 23. september 2025 og 26. maj 2026. Kommissionen samarbejder med den nederlandske forbruger- og konkurrencemyndighed ACM, fordi Booking.com har hovedsæde i Nederlandene.

Booking.com peger på hotellernes konti

Over for TjekDet skrev Booking.com i marts, at der ikke havde været sikkerhedsbrud på selskabets egne systemer eller infrastruktur. Problemet var ifølge Booking.com, at nogle overnatningssteder er blevet snydt af "meget overbevisende og avancerede phishing-angreb", som har givet svindlerne adgang til hotellernes konti.

Det er netop den grænse, Kommissionen nu vil teste: Forordningen pålægger de største platforme selv at vurdere og begrænse de risici, som tjenesten skaber for brugerne, også når angrebet kommer via en tredjepart.

Kommissionen understreger, at åbningen af sagen ikke er en afgørelse. Booking.com har endnu ikke fået en bøde, og skyld er ikke fastslået.

Næste skridt og hvad det betyder i Danmark

Kommissionen skriver, at den vil gennemføre undersøgelsen "som en prioritet" og kan sende flere anmodninger om oplysninger, holde interviews og foretage kontrolbesøg. Den kan også pålægge midlertidige foranstaltninger eller acceptere tilsagn fra Booking.com om at rette op på problemerne.

Ender sagen med en afgørelse om manglende overholdelse, kan Kommissionen ifølge sin egen beskrivelse af håndhævelsen give bøder på op til 6 procent af selskabets samlede årlige omsætning. Afgørelsen kan indbringes for EU's domstole.

I Danmark er det Digitaliseringsstyrelsen, der er tilsyn og såkaldt koordinator for digitale tjenester. Efter forordningen kan danske brugere klage dertil, og styrelsen sender om nødvendigt klagen videre. Med Kommissionens sag mister de nationale myndigheder dog deres kompetence til selv at håndhæve reklamereglen i artikel 26, stk. 1, over for Booking.com, så længe sagen kører.

Europaposten har ikke fundet en udmelding om sagen fra Christel Schaldemose eller fra regeringen onsdag eftermiddag.