Mensagens falsas da «Booking.com» que roubam a conta do alojamento e burlam os seus hóspedes: como as reconhecer e o que fazer (2026)

Atualizada: 9 de novembro de 2026

Há algum tempo que circulam emails que parecem da Booking.com ou de um hóspede e que tentam entrar na conta do seu alojamento. Com esse acesso, os burlões escrevem aos seus hóspedes com dados reais da reserva e pedem que paguem com cartão através de um link. Eis o que dizem a Microsoft, a Booking.com, a Airbnb e as autoridades (fontes no fim). Não é aconselhamento jurídico: perante um caso concreto, fale com a plataforma, o seu banco ou a polícia.

Como funciona a burla

A Microsoft descreveu uma campanha contra empresas de hotelaria, também na Europa, que começou em dezembro de 2024 e ainda estava ativa em fevereiro de 2025.

Chega um email que parece da Booking.com: uma avaliação negativa, o pedido de um possível hóspede, uma «oportunidade de promoção» ou uma «verificação de conta».
O link (ou um PDF com o link) leva a uma página falsa com um «captcha». Pede-lhe que carregue em algumas teclas para abrir a janela «Executar» do Windows e colar algo que a página já copiou: assim instala-se um programa que rouba palavras-passe e dados financeiros.
Com as suas credenciais, entram na extranet e escrevem aos seus hóspedes no chat da plataforma, com nome e datas reais, a pedir que «paguem de novo» ou «confirmem o cartão» por um link, muitas vezes com pressa («em 24 horas ou a reserva é cancelada»).

Sinais de alerta

Pressa ou ameaça: «verifique hoje ou a conta será suspensa», «responda já a esta avaliação».
Pedem-lhe que inicie sessão, descarregue um ficheiro ou abra um link que não esperava, por email, SMS ou WhatsApp.
Um «captcha» que pede para carregar em teclas ou colar algo: nenhum captcha verdadeiro faz isso.
Endereços ou domínios parecidos mas não iguais, e erros de ortografia.
A Booking.com diz que os seus agentes só pedem o ID do alojamento, nunca a palavra-passe nem um número de cartão.

O que fazer antes que aconteça

Ative a autenticação de dois fatores na Booking.com, na Airbnb e no seu email: mesmo que roubem a palavra-passe, falta o código do telemóvel.
Entre sempre escrevendo o endereço da plataforma ou pela sua app, nunca a partir de um link num email.
Nunca execute nada que um «captcha» lhe peça nem cole comandos no computador.
Use palavras-passe diferentes para a extranet e para o email, e dê a cada pessoa da equipa o seu próprio acesso.
Explique aos hóspedes na confirmação como cobra de facto (por exemplo, «paga no alojamento») e que nunca pedirá o cartão por um link.

Se já aconteceu

Mude as palavras-passe da extranet e do email a partir de um equipamento limpo e ative a autenticação de dois fatores.
Avise a plataforma pelos canais oficiais: na Booking.com, em «Contact Booking.com», que leva ao formulário de problemas de segurança para parceiros.
Avise os hóspedes com reservas próximas para ignorarem qualquer pedido de pagamento por link; a Booking.com lembra aos viajantes que nunca pede dados de cartão por email, telefone, SMS ou WhatsApp.
Se alguém pagou, deve ligar ao banco para bloquear o cartão.
Guarde capturas de ecrã, emails e links: vão servir para a plataforma e para a queixa.
Peça a um técnico que verifique o computador se chegou a executar alguma coisa.

Onde pedir ajuda e apresentar queixa

Portugal: apresente queixa à polícia. Para incidentes informáticos existe também o Centro Nacional de Cibersegurança (CNCS).
Espanha: o 017 do INCIBE é gratuito e confidencial, das 8:00 às 23:00 todos os dias, também para empresas; aconselha, mas não recebe queixas.
Itália: a Polizia Postale recebe comunicações através do «Commissariato di P.S. online».
Grécia: a Direção de Combate ao Cibercrime da polícia atende no 11188 e em ccu@cybercrimeunit.gov.gr; informação em cyberalert.gr.

Como ajuda o iQuota

No iQuota o pagamento é sempre feito no alojamento e nunca se pedem dados de cartão por mensagem. As IA recebem os seus dados a partir da sua ficha, não de emails. Não substitui a segurança das suas contas nas plataformas, mas é mais um canal sem pagamentos por link.

Quer uma página oficial de reserva que a IA consiga ler e um conector com os seus preços reais, sem comissão? Os primeiros 30 alojamentos entram grátis até 30 de junho de 2027.

Ver o programa Founding Hotels (em inglês)

Perguntas frequentes

A Booking.com pode pedir-me a palavra-passe por telefone?

Não. Segundo a Booking.com, os seus agentes só pedem o ID do alojamento e nunca a palavra-passe nem o número do cartão.

Um hóspede pagou por um link falso: o que lhe digo?

Que ligue já ao banco, avise a plataforma pelo canal oficial e guarde as provas para a queixa.

Devo comunicar mesmo sem ter perdido dinheiro?

Convém: avise a plataforma e guarde as provas; se houve acesso à conta, apresente queixa à polícia.

Fontes

Mais guias para hotéis

Mais guias para hotéis →

Español · English · Italiano · Ελληνικά