Entweder handelt es sich um ein Java-DriveBy oder um einen ganz normalen Cookie Catcher.
Um die Cookies aber zu Catchen, braucht das jeweilige Hotel eine Lücke, wodurch man eine XSS Injection machen kann.
Sofern man dann erstmal den Cookie hat, ist man nur in dem Account und hat NICHT das Passwort vom jeweiligen User.
Anders ist es beim Java-DriveBy. Wenn dies mit einem RAT verbunden ist, hat man Zugriff auf den ganzen Computer.