Der Sommer ist Reisezeit – und damit auch Hochsaison für Cyberkriminelle. Sicherheitsforscher schlagen jetzt Alarm: Betrüger verschicken zunehmend WhatsApp-Nachrichten, die auf den ersten Blick wie echte Mitteilungen von Hotels oder Buchungsplattformen aussehen. Das Besondere daran: Die Nachrichten enthalten oft tatsächliche Reisedaten der Betroffenen und wirken dadurch besonders glaubwürdig.
Zu diesem Ergebnis kommen die Bitdefender Labs nach einer Analyse von Phishing-Kampagnen in mehr als zehn Ländern, darunter Deutschland. Die Experten beobachten seit März 2026 eine neue Qualität der Angriffe. Ziel der Täter ist es, Urlauber zur Eingabe von Kreditkarten- oder anderen persönlichen Daten zu bewegen.
Anders als bei klassischen Phishing-Nachrichten arbeiten die Täter laut der Analyse nicht mehr mit allgemeinen Formulierungen. Stattdessen kennen sie häufig den Namen des Hotels, den Zeitraum der Reise, An- und Abreisedaten oder sogar die Reservierungsnummer. Dadurch entsteht der Eindruck, dass die Nachricht tatsächlich vom gebuchten Hotel oder der Buchungsplattform stammt.
Oft behaupten die Kriminellen, eine Buchung müsse noch einmal bestätigt werden. Gleichzeitig setzen sie ihre Opfer unter Zeitdruck. Wer nicht rasch reagiere, müsse angeblich mit einer Stornierung rechnen. Obwohl häufig versichert werde, dass keine zusätzlichen Kosten entstehen würden, endet der angegebene Link auf einer gefälschten Internetseite, auf der Kreditkarten- oder Zahlungsdaten abgefragt werden.
Auffällig ist laut Bitdefender, dass die untersuchten Kampagnen ausschließlich über WhatsApp abgewickelt werden. Das unterscheidet sie von früheren Betrugsversuchen, die häufig per E-Mail verschickt wurden. Die Sicherheitsforscher identifizierten mindestens sechs aktive Phishing-Kampagnen, bei denen die Namen von insgesamt acht Reiseanbietern missbraucht wurden. Betroffen waren Nutzer in mehr als zehn Ländern, darunter Deutschland, Großbritannien, Frankreich, die Niederlande, Kanada, Kolumbien und Singapur.
Nach Einschätzung der Experten sind Reservierungsdaten wertvoll für Cyberkriminelle. Wer Zugriff auf Buchungsinformationen erhält, kann diese oft über einen längeren Zeitraum für neue Betrugsversuche verwenden. Bitdefender verweist auf frühere Untersuchungen, bei denen sich Angreifer in die interne Kommunikation von Mitarbeitern bei Booking.com eingeschaltet haben sollen. Ziel sei es gewesen, Schadsoftware einzuschleusen und Zugangsdaten zu stehlen. Zudem hatte Booking.com selbst zuletzt einen unbefugten Datenzugriff gemeldet.
Die WhatsApp-Nachrichten führen die Empfänger auf Internetseiten, die bekannten Buchungsportalen stark ähneln. Dort sollen Reisende ihre Zahlungsdaten eingeben. Besonders tückisch: Die Kriminellen setzen laut Analyse auf aktuelle TLS-Zertifikate. Diese dienen normalerweise dazu, verschlüsselte Verbindungen aufzubauen und gelten für viele Nutzer als Zeichen einer vertrauenswürdigen Website. In den beobachteten Kampagnen würden sie jedoch auch für betrügerische Internetseiten eingesetzt.
Die Infrastruktur hinter den Angriffen deute auf eine koordinierte Vorgehensweise hin. Die Täter wechselten ihre Internetadressen regelmäßig, erzeugten neue Phishing-Domains automatisiert und nutzten immer wieder ähnliche Methoden, um Vertrauen aufzubauen. Nach Beobachtung der Sicherheitsforscher nutzen Cyberkriminelle auch große Veranstaltungen als Aufhänger für ihre Nachrichten. Dazu gehören etwa Formel-1-Wochenenden, Konzerte, Festivals oder andere Termine mit besonders hoher Nachfrage nach Unterkünften.
Bitdefender rät Urlaubern, Links aus WhatsApp-Nachrichten grundsätzlich nicht anzuklicken, wenn darin eine Buchung bestätigt oder Zahlungsdaten eingegeben werden sollen. Stattdessen sollten Reisende das Hotel oder die Unterkunft ausschließlich über die Kontaktdaten auf der offiziellen Website oder direkt über die Buchungsplattform kontaktieren. Seriöse Anbieter würden Buchungsprobleme üblicherweise nicht per WhatsApp lösen.
Verdächtige Telefonnummern sollten blockiert und Hotels oder Buchungsplattformen über entsprechende Nachrichten informiert werden. Wer bereits Kreditkartendaten auf einer verdächtigen Seite eingegeben hat, sollte sofort seine Bank verständigen, die Karte sperren oder ersetzen lassen und die Kontobewegungen genau kontrollieren.
