Hai bạn trẻ ở TP.HCM chuẩn bị đi du lịch Đà Nẵng, tìm đặt phòng khách sạn trên các trang booking.com, agoda.com, traveloka.com - Ảnh: QUANG ĐỊNH

Anh Hiền Vũ, ngụ TP.HCM, có đặt phòng đi nghỉ ở Phú Quốc hồi giữa tháng 1-2018 qua trang Agoda. 

Sau khi đặt phòng thì website yêu cầu anh Hiền nhập thông tin thẻ VISA - dù rằng anh đặt phòng theo kiểu trả tại khách sạn.

Vì tin tưởng Agoda và tin câu xác nhận của Agoda rằng thông tin thẻ VISA của khách "đều được mã hóa, được bảo vệ và đảm bảo an toàn" nên anh Hiền Vũ đã làm theo.

Sau đó, anh nhận được mã phòng đặt khách qua email. 

"Lúc đó tôi vẫn chưa bị thu tiền do tôi chọn trả khi đến nhận phòng, và thực tế thẻ cũng không đủ tiền để chi hết số ngày nghỉ", anh Hiền nói.

Tuy nhiên, khi làm thủ tục tại resort anh Hiền đã vô tình thấy được tờ giấy mà nhân viên của resort lấy ra kiểm tra, trong đó có tất cả các thông tin về thẻ VISA của anh, từ tên số thẻ đến cả số thẻ CVC, ngày hết hạn… và phía resort cho biết toàn bộ thông tin cho phía Booking cung cấp.

Theo anh Hiền, với những thông tin như vậy, lại được in ra giấy, bất kỳ ai cũng có thể đọc được, nguy cơ thẻ bị lộ và bị kẻ xấu lợi dụng là rất lớn, nếu có rủi ro xảy ra cũng khó xác định được là lỗi của ai. 

"Tôi không có nhiều kiến thức về thẻ VISA nhưng đủ biết rằng với 4 thông tin mà khách sạn đã in ra thì bất kỳ ai cũng có thể sử dụng thẻ VISA của mình để thanh toán cho các giao dịch online nếu thẻ đó không bị khóa chức năng giao dịch online", anh Hiền nói.

Từng sử dụng thẻ để giao dịch đặt phòng nhiều lần nên anh Hiền hiểu khai thông tin thẻ là bước bắt buộc mọi người phải thực hiện lúc đặt phòng, một phần cũng là để "làm tin" cho việc đặt phòng. 

Tuy nhiên, vấn đề là đáng lý chỉ Agoda bí mật cho khách thì lại gửi đầy đủ thông tin đi thay cho một đoạn thông tin mã hóa mà qua đó khách sạn có thể lấy đúng số tiền đặt phòng.

Phản hồi tới Agoda, anh Hiền được đại diện trang đặt phòng cho rằng "Về nguyên tắc là thông tin thẻ sẽ được bảo mật, bên khách sạn chỉ biết thông tin đã được mã hóa". 

Tuy nhiên khi anh Hiền đưa các bằng chứng cho thấy không như vậy thì phía Agoda tiếp tục bảo vệ quan điểm rằng họ không sai, và không có vấn đề gì về bảo mật xảy ra. 

Theo đại diện Booking.com thì giữa Agoda (Booking và Agoda cùng một chủ sở hữu) và các đối tác các đối tác có thỏa thuận nội bộ riêng và cam kết sẽ không cung cấp những thông tin này cho bên thứ ba trái phép cũng như làm nguy hiểm đến thẻ VISA của khách!

Giám đốc một doanh nghiệp lữ hành cho biết quy trình diễn ra với khách hàng Hiền Vũ là thực tế đang diễn ra với loại hình đặt phòng trả sau tại khách sạn do các trang đại lý trực tuyến (OTA) chỉ là trung gian giới thiệu khách và bán phòng cho khách sạn. 

Trang OTA sẽ phải cung cấp thông tin thẻ cho khách sạn để đảm bảo đây không là booking ảo. Nếu khách không tới hay không có tiền mặt để trả thì khách sạn sẽ thanh toán vào thẻ này.