Which? 假扮業主測試 Booking.com 成功上架唐寧街 10 號房源 揭平台「系統性安全漏洞」

據 The Guardian 今日（9 月 2 日）報導，英國消費者組織 Which? 早前於網上訂房平台 Booking.com 建立一個以首相官邸唐寧街 10 號為地址的虛假房源，並成功透過平台完成訂房及付款，其後更有一則虛假住客評論獲批准上架。Which? 批評該平台存在「系統性安全漏洞」（”systemic security failures”），並促請通訊監管機構 Ofcom 介入調查。

Which? 研究人員於 6 月 18 日在 Booking.com 上架名為「倫敦市中心一房單位」（”1 bed apartment in heart of London“）的房源，並附上唐寧街 10 號的正確地址及相片，聲稱由該處步行至國會大廈僅需 4 分鐘。研究人員隨即以該房源進行為期一星期的訂房及付款測試，Booking.com 亦有處理相關款項，惟 Which? 指款項至今近 6 個星期仍未退還。研究人員其後上載一則虛假評論，形容住宿體驗「非凡」（“exceptional”），並提及與唐寧街官邸的貓 Larry 相處愉快；Booking.com 雖曾表示評論須經審核團隊查核，評論卻幾乎即時獲批准刊登。Which? 又指，研究人員曾透過平台訊息系統，以核實訂房為由向「租客」發送外部連結索取信用卡資料，而 Booking.com 承認具備封鎖可疑網址的能力，惟事件中未有採取行動。假房源最終於 8 月 27 日、即上架 6 個星期後被下架。

Which? Travel 主編 Rory Boland 批評，Booking.com 標榜精密的人工智能系統「都無法識別唐寧街 10 號並非度假出租物業」（”can’t spot that 10 Downing Street is not a holiday rental”），難怪騙徒能輕易利用平台行騙。

Booking.com 發言人回應稱，是次測試不能反映平台上數以百萬計房源的實際情況，涉事房源在相關時段並未對外開放或「上架」，故未有觸發部分自動防詐騙機制，並指目前已透過多種查核措施及人工智能，在 24 小時內偵測並移除大部分詐騙房源。Ofcom 發言人則表示，平台一經得悉有違法內容即負有法定責任將其下架，但 Booking.com 現時並不在該局未來規管「已付費詐騙廣告」（“paid-for fraudulent advertising”）的規則範圍之內。