Un messaggio che sembra provenire dall’hotel, contiene il nome dell’ospite, le date esatte del soggiorno e il numero della prenotazione. Il cliente viene avvisato di un problema con il pagamento e invitato a verificare la propria carta di credito attraverso un link, per evitare la cancellazione della camera. Le informazioni sono corrette, ma la richiesta è fraudolenta.
È uno dei meccanismi utilizzati nelle truffe informatiche che prendono di mira le prenotazioni alberghiere, documentate anche nel corso del 2026 dalle autorità europee per la sicurezza informatica. Il rischio non riguarda soltanto gli ospiti: gli attacchi possono coinvolgere gli account delle strutture ricettive, i sistemi di prenotazione e i dati personali dei clienti.
Anche se le truffe sono dirette agli ospiti, queste partono da una compromissione o accesso non autorizzato che colpisce la struttura ricettiva, usando falle nei sistemi di sicurezza o procedure poco sicure usate dal personale.
Il fenomeno si inserisce in uno scenario di minacce digitali diffuse. Nel riepilogo relativo alla settimana dal 10 al 16 ottobre 2026, il CERT-AGID ha rilevato in Italia 254 campagne informatiche malevole, delle quali 217 con obiettivi italiani e 37 generiche che hanno comunque interessato il Paese. Il dato comprende diverse tipologie di attacchi e settori, non soltanto quello alberghiero, ma offre un’indicazione dell’intensità delle attività fraudolente monitorate.
Come funzionano le truffe che utilizzano prenotazioni autentiche
Il 2 giugno 2026 il Centro nazionale per la cibersicurezza svizzero (NCSC) ha segnalato un aumento delle comunicazioni fraudolente inviate tramite WhatsApp e collegate a prenotazioni alberghiere realmente effettuate.
L’autorità ha descritto due modalità di attacco. Nella prima, i criminali utilizzano informazioni autentiche relative al soggiorno per contattare direttamente il cliente, fingendosi l’assistenza della piattaforma di prenotazione o il personale dell’hotel. Il messaggio può annunciare un rimborso e invitare il destinatario a inserire i dati della carta su un sito che imita quello di un servizio di pagamento o di una banca.
Nella seconda modalità, i truffatori riescono a ottenere l’accesso agli account utilizzati dalle strutture per gestire le prenotazioni. Possono farlo sottraendo le credenziali attraverso messaggi ingannevoli oppure utilizzando programmi malevoli installati sui dispositivi del personale.
Una volta entrati nel sistema, possono consultare le prenotazioni e sfruttare le informazioni disponibili per contattare i clienti, anche attraverso i servizi di messaggistica della piattaforma. In questi casi, il messaggio può apparire all’interno di una conversazione autentica tra l’ospite e la struttura.
Il cliente viene generalmente invitato a effettuare un pagamento aggiuntivo o a confermare i dati della carta attraverso un collegamento esterno, con la minaccia di perdere la prenotazione se non interviene rapidamente.
La presenza di informazioni corrette e l’utilizzo di un canale di comunicazione ufficiale non garantiscono quindi, da soli, che una richiesta di pagamento sia legittima.
Phishing e furto delle credenziali: come vengono compromessi gli account degli hotel
Uno dei metodi più utilizzati è il phishing, una tecnica con cui i criminali inviano comunicazioni apparentemente provenienti da soggetti affidabili per ottenere password, codici di accesso o altre informazioni riservate.
Nel caso degli hotel, il personale può ricevere un’email che sembra inviata da una piattaforma OTA (Online Travel Agency), con una richiesta urgente di aggiornare l’account, verificare una prenotazione o risolvere un presunto problema amministrativo.
Il collegamento contenuto nel messaggio può aprire una pagina contraffatta, molto simile a quella originale. Se l’operatore inserisce le credenziali, queste vengono acquisite dai truffatori, che possono successivamente tentare di accedere al portale di gestione della struttura, spesso chiamato extranet.
Un’altra possibilità è che un allegato o un programma apparentemente legittimo installi un malware, cioè un software dannoso capace, tra le altre cose, di sottrarre informazioni dal dispositivo.
Queste tecniche non implicano una violazione dei sistemi informatici centrali delle piattaforme. L’attacco può interessare il singolo account dell’hotel o un computer utilizzato per gestire le prenotazioni.
Sicurezza informatica: le strutture più piccole si ritengono meno preparate
La protezione degli strumenti digitali rappresenta una sfida soprattutto per le strutture che dispongono di risorse tecniche e organizzative limitate.
Secondo l’European Accommodation Barometer 2026, realizzato da Booking.com e Statista attraverso interviste a 1.240 operatori del settore ricettivo europeo, il 94% delle strutture con almeno 250 dipendenti ritiene adeguata la propria preparazione in materia di sicurezza informatica, contro il 60% di quelle con meno di dieci addetti.
La differenza emerge anche nella formazione del personale: viene effettuata dal 49% delle strutture più piccole, rispetto all’89% di quelle maggiori. Si tratta di valutazioni e pratiche dichiarate dagli operatori, non di verifiche tecniche sulla sicurezza effettiva dei sistemi.
Per l’Italia, il Barometro rileva che il 59% delle strutture considera adeguato il proprio livello di preparazione. Tuttavia, soltanto il 2% indica gli incidenti informatici tra le principali preoccupazioni per i dodici mesi successivi.
Questi risultati richiamano l’importanza di affiancare agli strumenti tecnologici procedure interne e formazione, anche nelle strutture di dimensioni contenute.
Come proteggere gli accessi alle piattaforme di prenotazione
Il rapporto ENISA Threat Landscape 2026 evidenzia come l’interconnessione tra sistemi digitali e fornitori possa ampliare le possibilità di attacco. Per gli hotel, la prevenzione dovrebbe partire dalla protezione degli account utilizzati per prenotazioni, posta elettronica e gestione dei clienti.
Tra le misure operative più importanti rientrano:
- Attivare l’autenticazione a più fattori (MFA): quando disponibile, richiedere oltre alla password un’ulteriore verifica dell’identità. Questo sistema ostacola gli accessi non autorizzati, anche se non elimina ogni rischio di phishing.
- Utilizzare credenziali individuali: evitare che più dipendenti condividano lo stesso account, assegnando a ciascuno soltanto le autorizzazioni necessarie per il proprio lavoro.
- Controllare gli accessi: verificare periodicamente gli utenti autorizzati e i privilegi di accesso.
- Aggiornare dispositivi e programmi: mantenere aggiornati sistemi operativi, browser, antivirus e software utilizzati dalla reception.
- Verificare le comunicazioni sospette: non inserire password o codici di autenticazione nei siti raggiunti attraverso link ricevuti in messaggi inattesi. Per accedere alle OTA è preferibile utilizzare direttamente l’indirizzo ufficiale o un collegamento salvato in precedenza.
- Formare il personale: spiegare come riconoscere richieste anomale, allegati sospetti e falsi messaggi relativi alle prenotazioni, definendo a chi segnalare eventuali tentativi di frode.
Richieste di pagamento sospette: come tutelare gli ospiti
La sicurezza riguarda anche il modo in cui l’hotel comunica con i clienti. È opportuno stabilire procedure precise per l’invio di richieste di pagamento, caparre e verifiche delle carte, evitando modalità improvvisate o difficilmente riconoscibili.
Le condizioni economiche indicate nella conferma di prenotazione devono costituire il riferimento per il cliente. Eventuali modifiche o richieste aggiuntive dovrebbero essere accompagnate da spiegazioni chiare e verificabili.
Ad esempio, Booking.com raccomanda ai viaggiatori di diffidare dei messaggi che chiedono urgentemente di reinserire i dati della carta o effettuare pagamenti diversi da quelli previsti nella conferma ricevuta.
Una struttura può contribuire alla prevenzione informando gli ospiti su quali canali utilizza per comunicare e quali procedure segue per richiedere eventuali pagamenti, diffidando di altre modalità. In presenza di messaggi sospetti, il cliente dovrebbe poter verificare la richiesta contattando direttamente l’hotel attraverso un numero già conosciuto o pubblicato sui suoi canali ufficiali, senza utilizzare i recapiti presenti nel messaggio ricevuto.
Cosa fare quando si sospetta una compromissione
Se un dipendente rileva un accesso anomalo o un cliente segnala una richiesta fraudolenta, è importante intervenire rapidamente.
La struttura dovrebbe innanzitutto contattare l’assistenza della piattaforma interessata, verificare gli accessi effettuati, modificare le credenziali potenzialmente compromesse da un dispositivo sicuro e richiedere, quando possibile, la chiusura delle sessioni non autorizzate.
È inoltre necessario verificare se siano stati inviati messaggi fraudolenti agli ospiti e avvisare tempestivamente i clienti potenzialmente coinvolti, indicando di non effettuare pagamenti attraverso i collegamenti sospetti. Chi ha già comunicato i dati della carta dovrebbe essere invitato a contattare immediatamente la propria banca o il relativo emittente.
In caso di possibile violazione dei dati personali, occorre anche valutare gli obblighi previsti dal GDPR. Il titolare del trattamento deve documentare l’incidente e, quando la violazione può comportare un rischio per i diritti e le libertà delle persone, notificarla al Garante Privacy senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza. Se il rischio è elevato, può essere necessaria anche una comunicazione agli interessati.
La responsabilità e gli adempimenti dipendono dalle circostanze dell’incidente, dai sistemi coinvolti e dai rispettivi ruoli dei soggetti che trattano i dati.
La protezione dei dati delle prenotazioni alberghiere non dipende soltanto dalla sicurezza delle piattaforme utilizzate, ma anche dalla gestione degli accessi e dalle procedure adottate dalla struttura.
Per ridurre il rischio di frodi e limitare le conseguenze di eventuali incidenti risultano quindi fondamentali i controlli periodici, un personale adeguatamente formato e una comunicazione trasparente con gli ospiti sulle procedure di pagamento e sui canali ufficiali utilizzati dalla struttura.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
