I messaggi fraudolenti che arrivano ai clienti di Booking.com hanno una caratteristica che li distingue dalle truffe tradizionali: contengono i dati reali della prenotazione. Il nome della struttura, le date del soggiorno, l’importo. Non c’è nessun errore da riconoscere, perché le informazioni sono corrette.
Questo cambia il problema per due categorie di persone. Per chi viaggia, perché i segnali su cui si basava la prudenza non ci sono più. E per chi gestisce una struttura ricettiva, perché quei dati non escono dal nulla: passano da un account compromesso, e in diversi casi documentati quell’account apparteneva a un albergo.
La violazione del 2026 e il precedente del 2018
Nell’aprile 2026 Booking.com ha confermato di aver rilevato attività sospette legate all’accesso non autorizzato, da parte di soggetti terzi, ad alcune informazioni di prenotazione dei propri utenti. I dati raggiunti comprendono nomi, indirizzi email, recapiti telefonici, indirizzi fisici, dettagli delle prenotazioni e le informazioni condivise con le strutture. La piattaforma ha dichiarato che le informazioni finanziarie non sono state interessate, ha aggiornato i codici associati alle prenotazioni e ha informato gli utenti potenzialmente coinvolti.
L’effetto immediato è stato quello prevedibile: una campagna di messaggi costruiti su dati autentici, recapitati via WhatsApp e in alcuni casi attraverso le chat ufficiali della piattaforma, con pagine di destinazione che riproducono l’interfaccia di Booking e presentano i campi già compilati.
C’è un precedente che spiega il meccanismo meglio di qualsiasi analisi. Nel 2018 alcuni criminali ottennero con tecniche di phishing le credenziali dei dipendenti di un albergo negli Emirati Arabi Uniti, e attraverso quelle credenziali accedettero ai dati di prenotazione di oltre quattromila persone, con le informazioni di pagamento esposte per 283 di esse. Booking.com segnalò la violazione all’autorità olandese per la protezione dei dati con ventidue giorni di ritardo, e per questo fu sanzionata con 475.000 euro.
Il dettaglio che conta è dove è avvenuta la compromissione: non nei sistemi della piattaforma, ma nell’account di una struttura partner. Un albergo, con un pannello di gestione e credenziali condivise fra il personale della reception.
Perché le piattaforme di prenotazione sono un bersaglio
Il valore di queste piattaforme per un attaccante non sta nei dati di pagamento, che spesso non sono raggiungibili, ma nella combinazione di informazioni che consentono di costruire un messaggio credibile.
Sapere che una persona ha prenotato in una struttura specifica, per date specifiche, e conoscerne il numero di telefono, permette di scrivere una richiesta che non contiene nulla di verificabile come falso. La leva non è più l’inganno grossolano, è l’esattezza.
A questo si aggiunge il contesto emotivo, che nel settore turistico gioca a favore dell’attaccante. Una comunicazione che segnala un problema con il pagamento di un viaggio già programmato viene letta con una fretta diversa da quella con cui si valuterebbe la stessa richiesta in un altro momento. La finestra utile per l’attaccante è breve e ben definita: i giorni fra la prenotazione e la partenza.
Come si presenta il messaggio
Lo schema è ricorrente. Un contatto che si presenta come la struttura o come la piattaforma segnala un problema con la carta di credito, e chiede di verificare i dati entro un termine breve per non perdere la prenotazione.
Gli elementi ricorrenti sono tre, e riconoscerli è più utile che cercare errori nel testo.
| Elemento | Come si presenta | Perché funziona |
|---|---|---|
| Urgenza con una scadenza | Un problema con il pagamento, e la minaccia di annullare la prenotazione | Riduce il tempo disponibile per verificare, che è l’unica difesa efficace |
| Collegamento fuori dominio | Un indirizzo che non appartiene al dominio della piattaforma, ma la cui pagina ne riproduce la grafica | Sullo schermo di un telefono l’indirizzo completo è difficile da leggere |
| Rassicurazione sull’importo | L’affermazione che nessuna somma verrà addebitata | Abbassa la percezione del rischio nel momento in cui si chiede il dato più sensibile |
Un elemento che in passato aiutava, e su cui oggi non conviene contare, è la lingua. Nei primi casi documentati il messaggio arrivava in inglese anche per prenotazioni fra utenti e strutture italiane, e l’incongruenza era un segnale. Oggi i testi vengono generati nella lingua del destinatario senza errori, e quel segnale non è più disponibile.
Lo stesso schema si presenta anche fuori dalla piattaforma, su WhatsApp e via SMS. In diversi casi il contatto si è presentato come responsabile della struttura prenotata, con riferimenti corretti al soggiorno: è la forma che prende il nome di spear phishing quando il messaggio è costruito sul singolo destinatario.
Le credenziali che aprono un pannello di gestione delle prenotazioni si perdono attraverso una persona, non attraverso un sistema. Chi lavora in reception riceve richieste di credenziali che sembrano provenire dalla piattaforma, e in alta stagione le valuta in pochi secondi. La nostra Academy forma il personale a verificarle prima di rispondere.
Il punto che riguarda le strutture ricettive
Fin qui il punto di vista di chi viaggia. Per una struttura che lavora attraverso le piattaforme di prenotazione il problema si presenta al contrario, e riguarda tre aspetti.
Il primo è l’accesso al pannello di gestione. In molti alberghi e strutture ricettive le credenziali sono condivise fra i turni della reception, non hanno un secondo fattore di autenticazione attivo e restano valide per anni, anche per il personale stagionale che non lavora più lì. È esattamente la configurazione da cui è passata la compromissione del 2018.
Il secondo è la responsabilità sui dati. I dati degli ospiti che transitano dalla piattaforma sono dati personali di cui la struttura è titolare o corresponsabile del trattamento, a seconda dei rapporti contrattuali. Una compromissione delle credenziali della struttura non è quindi soltanto un danno commerciale: comporta obblighi di notifica, e il precedente della sanzione da 475.000 euro riguardava proprio un ritardo nella comunicazione.
Il terzo è la posizione nella catena di fornitura. Una struttura ricettiva che lavora con gruppi, agenzie o portali si trova a essere il fornitore di qualcun altro, e sempre più spesso riceve questionari di sicurezza da compilare per restare accreditata. Le domande riguardano la gestione degli accessi e la data dell’ultima verifica di sicurezza, non le intenzioni.
Cosa fare se ricevete un messaggio sospetto
La regola vale per tutti i canali e non richiede di valutare il contenuto del messaggio: l’identità di chi vi contatta non si verifica mai all’interno della stessa comunicazione.
Se un messaggio segnala un problema con la prenotazione, non seguite il collegamento che contiene. Contattate la struttura con i recapiti presenti nella conferma di prenotazione ricevuta al momento dell’acquisto, o accedete al vostro profilo digitando l’indirizzo della piattaforma nel browser. Se il problema esiste, lo troverete lì.
Nel caso in cui abbiate già inserito i dati, l’ordine delle azioni è questo: blocco della carta attraverso l’app o il numero della banca, modifica della password dell’account e verifica che l’autenticazione a due fattori sia attiva, segnalazione alla piattaforma. Se emergono conseguenze sull’identità, la procedura per il furto di identità indica i passaggi successivi.
Per una struttura ricettiva la verifica è diversa e va fatta ora, non quando arriva il messaggio: quali persone hanno accesso al pannello di gestione, se ciascuna ha credenziali proprie, se il secondo fattore è attivo, e se gli accessi del personale che non lavora più lì sono stati revocati.
Gli account condivisi, le credenziali del personale stagionale mai revocate e il secondo fattore mai attivato sono le tre lacune che si trovano più spesso nelle strutture che lavorano con le piattaforme di prenotazione. Il nostro Vulnerability Assessment verifica lo stato reale degli accessi e dei sistemi esposti, e restituisce le lacune in ordine di priorità.
- Autore articolo
- Gli ultimi articoli
Responsabile Marketing per due aziende leader nel settore della Sicurezza Informatica: organizzo e progetto iniziative di diffusione della cultura cybersecurity e dei rischi cyber-crime attraverso contenuti web, eventi on e off line e materiale info-grafico. Ho una naturale propensione per far coesistere il lato metodico e preciso del mio carattere con la parte più creativa, visionaria e ambiziosa di me. Sono curiosa, riflessiva e non metto freni alla mia fame di conoscenza.