Em 21 de outubro de 2026 a Comissão Europeia abriu processo formal contra a Booking.com ao abrigo da Lei de Serviços Digitais, a primeira investigação desse tipo contra a plataforma de viagens. A Comissão vai avaliar se a empresa deixou de analisar com diligência ou de mitigar de forma eficaz os riscos relacionados com anúncios fraudulentos e golpes de phishing, e se violou as regras de transparência ao não rotular claramente como publicidade os anúncios cujos provedores pagaram por uma melhor posição nos resultados de busca.
Por que a investigação de uma plataforma é uma história de e-mail
O segundo ponto da investigação é o que mais interessa a quem gerencia e-mail. A Comissão examina os golpes de phishing que exploram os dados de reservas e hóspedes da Booking.com, e como esses dados são compartilhados com os provedores de hospedagem. Um alto funcionário da UE citado pela AFP disse que os reguladores suspeitam que a plataforma não protege suficientemente os dados de usuários privados e empresariais, o que “torna o sistema vulnerável a esse tipo de phishing”.
Essa é a mecânica do phishing moderno em uma frase. Um e-mail fraudulento que conhece seu número de reserva, suas datas, o nome do seu hotel e seu nome completo não precisa ser esperto, só precisa chegar. Quando os dados de reservas vazam ou circulam com muita liberdade, os atacantes conseguem a matéria-prima para mensagens que parecem autênticas, incluindo pedidos de pagamento enviados horas antes do check-in.
O que disseram os reguladores
As três frentes da investigação são os anúncios fraudulentos ou em desconformidade, os golpes de phishing que exploram os dados de reservas e hóspedes, e os anúncios impulsionados pagos que não são claramente identificáveis como publicidade. A responsável europeia pela tecnologia, Henna Virkkunen, afirmou que os europeus devem poder reservar suas férias sem medo de serem enganados. A Booking.com disse que coopera plenamente e que a segurança, a confiança e a proteção de informações pessoais são prioridades máximas. Como plataforma on-line muito grande, ela enfrenta multas de até seis por cento da receita global nos termos da DSA, e até mesmo uma proibição em caso de violações graves e reiteradas. Não há prazo legal para a conclusão do processo.
A lição para cada remetente
O caso trata de uma plataforma de viagens, mas o modo de falha por baixo é universal. Quando sua marca aparece em mensagens que você não enviou, seus clientes culpam você, não o atacante. As defesas são as mesmas, seja você um marketplace, um banco ou uma padaria. Autentique todas as fontes legítimas com SPF, DKIM e DMARC, leve sua política DMARC de p=none para quarantine e depois para reject para que o e-mail falsificado seja realmente bloqueado, leia seus relatórios agregados para ver quem falha na autenticação se passando por você, e controle como os dados de clientes fluem para parceiros e terceiros. Um registro DMARC que apenas observa enquanto atacantes exploram os dados dos seus clientes é um álibi, não uma defesa.
Se uma marca do tamanho da Booking.com agora precisa responder a reguladores por como o phishing abusa de seus dados, a pergunta para a sua organização é simples. Você sabe hoje quem está enviando e-mail em nome dos seus domínios, e a sua política rejeita isso? O Excello Mail mapeia cada fonte de envio para você e leva seus domínios até p=reject sem quebrar o e-mail legítimo. Cadastre-se gratuitamente no Excello Mail e veja o que seus relatórios DMARC estavam tentando dizer.