全英最著名、保安最森严的首相府，竟能在旅游网站变身度假屋。消费者权益组织Which?公布调查，研究人员成功在Booking.com建立虚假房源，声称出租唐宁街10号的一房公寓，不但获平台处理测试预订及付款，更能刊登虚假住客评论，以及透过站内讯息发送索取信用卡资料的外部连结。
首相府变“市中心一房公寓”
Which?批评事件暴露平台审核及防诈骗机制存在“系统性缺失”。Booking.com则反驳，测试条件有限，不能代表平台上数以百万计房源及评论的实际情况。
Which?表示，研究人员于6月18日在Booking.com建立房源，以“位于伦敦市中心的一房公寓”为题，直接填上唐宁街10号的地址，并使用首相府著名黑色大门的照片，形容住所位处“市中心黄金地段”，步行约4分钟便可到达国会大厦一带。
房源设定为住客须先提出入住申请，不能自行即时完成预订。研究人员短暂开放约20分钟，供另一个测试帐户申请留宿一周；在此期间，竟有14人联络查询或提出入住要求，但团队只接纳由研究人员提交的测试申请。Booking.com其后为该宗测试预订处理付款，Which?称款项在超过6周后仍未退回。
虚假评论获刊登 大赞与拉里玩耍
研究人员其后于8月11日留下10分满分的虚假评论，形容入住体验“非常出色”，并把与唐宁街“捕鼠大臣”、首相府猫拉里（Larry the Cat）玩耍列为住宿亮点。
Which?称，平台曾发出讯息，表示评论将交由审核团队检查，但内容几乎立即出现在房源页面。直至8月27日、即房源建立约两个月后，有关虚假页面才被移除。
外部信用卡连结未遭拦截
调查另一重点是钓鱼讯息风险。Which?研究人员以房东身分，透过Booking.com站内通讯系统，向测试住客发送外部网址，要求对方输入信用卡资料以确认预订。
Which?指出，这类要求用户离开官方平台并提交付款资料的连结，是常见网上旅游骗案手法。Booking.com过往表示，系统可在怀疑涉及诈骗时阻截网址，但今次测试中的连结并未被拦截或标示为可疑。
Which?批AI系统“不合格”
Which?旅游编辑博兰（Rory Boland）批评，若Booking.com所称的先进人工智能系统，连唐宁街10号并非度假出租物业也未能识别，骗徒能够利用平台便不足为奇。
他指出，把英国最著名的地址列作出租房源看似荒谬，但虚假住宿及钓鱼连结可令旅客损失数以千英镑计，因此平台漏洞绝非笑话。Which?并促请英国首相要求通讯管理局Ofcom，依据《网上安全法》审视相关平台的防诈骗措施。
Booking.com：测试不代表实际运作
Booking.com发言人表示，这项有限度测试并不能真实反映平台上数以百万计房源及评论的情况。公司解释，Which?建立的房源并非在所指的两个月内持续公开及接受预订；在研究人员关闭预订后，部分自动防诈骗机制未被触发，因此没有把已关闭的房源彻底移除。
平台称，现时设有多重检查、验证措施及人工智能技术，能在24小时内侦测并移除大部分欺诈房源，并会继续加强防御。平台亦提醒用户，不应开启来历不明的连结，或在订单列明的付款安排以外提供个人及财务资料。
Ofcom：付费诈骗广告规例未涵盖平台
Ofcom回应指，对于用户产生的非法内容，网上平台在知悉后已有法律责任迅速移除。不过，Booking.com并不属于未来规管付费诈骗广告规则的适用范围，是否扩大涵盖面须由英国政府决定。
事件同时提醒旅客，即使房源出现在大型预订平台，亦不代表绝对安全。订房前应核对地址、比较附近住宿价格、查阅不同来源的评价；若“房东”要求转往外部网站付款或重新输入信用卡资料，应立即停止操作，直接透过平台官方客服核实。
