Infostealer, ClickFix e GDPR: analisi forense degli attacchi phishing contro gli hotel

Il settore alberghiero è sotto attacco. Non metaforicamente: da oltre due anni una campagna criminale sistematica prende di mira le strutture ricettive di tutta Europa con un'architettura d'attacco multi-stadio progettata su misura per le vulnerabilità operative della reception. Al centro c'è l'impersonazione di Booking.com.

Questa guida va oltre la descrizione superficiale del fenomeno. Analizza la catena d'attacco tecnica, le famiglie di malware impiegate, le implicazioni normative per gli hotel e le misure di mitigazione concrete — incluse le modifiche architetturali introdotte da Booking.com a settembre 2026.

Perché l'hotel è il bersaglio ideale

La reception è strutturalmente vulnerabile per ragioni operative, non per imperizia. Il personale di front-desk è professionalmente tenuto ad aprire comunicazioni da mittenti sconosciuti — email di potenziali ospiti, richieste speciali, allegati con documenti — decine di volte al giorno, spesso in condizioni di pressione (picco di check-in, telefono che squilla, ospite al banco che aspetta).

Questa dinamica riduce la soglia di attenzione e trasforma la casella email della reception nel punto d'ingresso primario per malware e furti di credenziali. Gli attaccanti non sfruttano una falla tecnica: sfruttano il mestiere stesso della reception.

Anatomia tecnica della catena d'attacco

Fase 1 — Ingegneria sociale iniziale (senza payload)

L'attacco prende il via con un'email di spear-phishing inviata agli indirizzi di contatto della struttura. Gli scenari costruiti dagli attaccanti sfruttano le priorità operative quotidiane della reception:

• Oggetto smarrito urgente: un ex ospite dichiara di aver dimenticato un passaporto o documento d'identità, chiede conferma urgente allegando una "foto" per l'identificazione.
• Reclamo con minaccia reputazionale: falsa segnalazione di disservizio con richiesta di verifica immediata di un "documento di prova" allegato.
• Richiesta di prenotazione speciale: potenziale cliente che chiede condizioni personalizzate documentate in un file allegato.

La prima email non contiene nulla di malevolo. Serve esclusivamente a costruire fiducia e ottenere una risposta. Solo dopo la replica della reception viene inviata la seconda comunicazione — quella con il contenuto pericoloso — tipicamente un link a Google Drive, Dropbox o OneDrive. Il file scaricato si presenta come archivio compresso (.zip) contenente un eseguibile camuffato da immagine o documento (estensione .scr o .exe).

Fase 2 — Installazione dell'Infostealer

All'apertura dell'allegato o all'esecuzione del file, viene installato sul sistema della reception un malware specializzato nel furto silenzioso di informazioni (Infostealer) o un Remote Access Trojan (RAT). Le famiglie più impiegate in questi attacchi sono Vidar, Lumma Stealer, PureRAT, XWorm, AsyncRAT e Danabot.

L'Infostealer scansiona tutti i browser installati sul sistema, estrae le password salvate in locale e le chiavi di sessione, con priorità assoluta per le credenziali di accesso a admin.booking.com. Il processo avviene in background, senza interfaccia visibile, spesso senza che i software antivirus tradizionali rilevino nulla.

Fase 3 — La tecnica ClickFix (variante senza allegati)

Una variante evoluta — attribuita al gruppo criminale Storm-1865 — bypassa completamente il download di allegati. La reception viene reindirizzata su una pagina web che simula un errore del browser Booking.com o un test CAPTCHA di verifica. La pagina mostra un avviso di sistema che richiede di "risolvere un problema di verifica" copiando un testo e incollandolo nella finestra Esegui di Windows (Win+R) o in PowerShell.

Quel testo è un comando che invoca strumenti di sistema legittimi — i cosiddetti LOLBins (Living Off the Land Binaries) come mshta.exe o powershell.exe — per scaricare ed eseguire silenziosamente il payload malevolo. Nessun file allegato da aprire, nessuna estensione sospetta: l'antivirus tradizionale non intercetta nulla perché vede solo strumenti di sistema usati normalmente.

Fase 4 — Dirottamento dell'Extranet e truffa "I Paid Twice"

Con le credenziali di accesso a admin.booking.com, gli attaccanti scaricano l'elenco completo delle prenotazioni attive — nomi ospiti, date di soggiorno, importi, canali di comunicazione. Si avvia la fase economica dell'attacco, nota come campagna "I Paid Twice" o "Breach Booking".

Sfruttando la messaggistica interna all'app di Booking.com o l'indirizzo email mascherato dell'ospite (@guest.booking.com), i criminali inviano messaggi direttamente ai clienti con prenotazione confermata. Poiché la comunicazione proviene dai canali ufficiali della piattaforma, i filtri antispam non la intercettano e la legittimità della fonte appare indiscutibile.

Il messaggio comunica che la prenotazione sarà cancellata entro 24 ore per un presunto fallimento nella verifica della carta di credito. Il link incluso reindirizza a una pagina di phishing graficamente identica a Booking.com o Expedia. Per aggirare i sistemi di sicurezza, le pagine usano offuscamento JavaScript in Base64 e attacchi IDN Homograph — sostituendo ad esempio la lettera latina "o" con la lettera cirillica "о" (U+043E) nell'URL registrato ad hoc. Una volta inseriti i dati di pagamento, i fondi vengono sottratti e le credenziali bancarie esfiltrate.

Il mercato underground delle credenziali alberghiere

Esiste un'economia criminale consolidata attorno a questi attacchi. Nel dark web si è sviluppato un mercato dedicato alla compravendita di "log" — pacchetti di credenziali verificate con accesso all'Extranet di Booking.com. I prezzi oscillano tra 30 e 2.000 dollari per singola credenziale verificata, in base al volume di prenotazioni della struttura e all'accesso agli strumenti di messaggistica.

Questo significa che il computer della reception infettato oggi potrebbe non portare immediatamente a una truffa: le credenziali vengono vendute a un secondo attore criminale, che le usa settimane o mesi dopo. Tra chi esegue l'infezione iniziale e chi perpetra la frode agli ospiti possono esserci intermediari e rivenditori completamente diversi.

Confronto tecnico: malware e tecniche d'attacco

Implicazioni GDPR: cosa rischia l'hotel

La compromissione dell'Extranet e l'accesso non autorizzato ai dati degli ospiti configura un Data Breach ai sensi del Regolamento UE 2016/679 (GDPR). La struttura ricettiva, in qualità di Titolare del trattamento, ha obblighi precisi e non delegabili.

Notifica al Garante entro 72 ore (art. 33 GDPR): dall'acquisizione della consapevolezza della violazione, l'hotel deve notificare all'Autorità Garante per la protezione dei dati personali se sussiste un rischio per i diritti e le libertà degli interessati. Il termine decorre dal momento in cui la struttura viene a conoscenza del breach — non dal momento dell'infezione.

Comunicazione agli ospiti (art. 34 GDPR): se la violazione comporta un rischio elevato (furto di dati finanziari, carte di credito), l'hotel deve informare tempestivamente i clienti coinvolti. In caso di attacco "I Paid Twice", il rischio è alto per definizione.

Il Garante per la Privacy italiano ha avviato verifiche formali sul settore alberghiero per accertare l'adeguatezza delle misure di sicurezza tecniche e organizzative. Booking.com stessa ha ricevuto una sanzione di 475.000 euro dall'Autorità Garante olandese per ritardata notifica di un attacco informatico. La responsabilità dell'hotel è chiara: se le credenziali vengono rubate perché salvate in modo non sicuro nel browser della reception, la struttura risponde della mancata adozione di misure tecniche adeguate.

La modifica di Booking.com del 28 settembre 2026

A seguito del volume crescente di frodi via SMS e WhatsApp agli ospiti, Booking.com ha introdotto una modifica tecnica significativa alle API di integrazione. Dal 28 settembre 2026, la piattaforma ha disattivato l'invio automatico dei numeri di telefono cellulare degli ospiti verso i software gestionali terzi — PMS e Channel Manager.

I dati telefonici rimangono accessibili esclusivamente tramite consultazione manuale nell'Extranet (admin.booking.com) o nell'app Pulse, protetta da autenticazione a due fattori. Per le comunicazioni ordinarie restano operativi i canali interni protetti (chat integrata e email mascherata @guest.booking.com). Se il tuo gestionale ha smesso di ricevere i numeri di telefono delle prenotazioni Booking.com, non è un errore tecnico: è una scelta intenzionale della piattaforma per limitare l'estrazione automatizzata di recapiti in caso di compromissione delle integrazioni terze.

Matrice di hardening tecnologico

Protocolli operativi per il personale di reception

La difesa tecnica da sola non è sufficiente: la compromissione iniziale avviene sempre tramite un'azione umana. Queste regole operative devono essere note a ogni persona che accede alla casella email della reception.

Regola 1 — Accesso diretto ai portali, mai via link

È fatto divieto assoluto di cliccare su link presenti in email o messaggi di chat per accedere al portale amministrativo. L'accesso all'Extranet avviene esclusivamente digitando manualmente admin.booking.com nella barra degli indirizzi o tramite preferiti aziendali preconfigurati. Questo vale anche se il link nell'email sembra identico all'URL ufficiale.

Regola 2 — Zero esecuzione di comandi da siti web

Nessuna pagina web legittima — né Booking.com, né il provider dell'antivirus, né il gestore IT — chiede mai di copiare un testo e incollarlo nella finestra Esegui (Win+R) o in PowerShell. Se compare questa richiesta, è un attacco ClickFix. La pagina va chiusa immediatamente e l'episodio segnalato.

Regola 3 — Verifica fuori banda degli allegati

Se un'email da un potenziale ospite contiene link a servizi cloud esterni (Google Drive, Dropbox, OneDrive) per la "visualizzazione di documenti", l'operatore non deve aprire il link. La verifica dell'effettiva richiesta va condotta interrogando il gestionale interno o contattando telefonicamente il cliente tramite un numero trovato autonomamente, mai quello nell'email.

Regola 4 — L'urgenza è un segnale d'allarme

Se un messaggio sollecita un'azione immediata sotto minaccia di cancellazione, penali o danni reputazionali entro 24 ore, va considerato sospetto per definizione. I criminali usano intenzionalmente la pressione temporale per cortocircuitare il ragionamento critico. Più è urgente, più lenta e attenta deve essere la risposta.

Cosa fare se si sospetta una compromissione

• Cambia immediatamente la password di admin.booking.com da un dispositivo sicuro (non quello potenzialmente infetto).
• Attiva il 2FA sull'Extranet e sull'email della reception se non era attivo.
• Controlla la messaggistica interna di Booking.com per verificare se sono stati inviati messaggi agli ospiti che non riconosci.
• Avvisa gli ospiti con prenotazioni nel periodo sospetto che potrebbero ricevere comunicazioni fraudolente a tuo nome.
• Isola il computer dalla rete e chiama un tecnico per la bonifica del sistema prima di rimetterlo in uso.
• Documenta l'incidente con data, modalità e dati potenzialmente esposti e valuta la notifica al Garante Privacy entro 72 ore.
• Segnala a Booking.com tramite i canali ufficiali di supporto per la gestione dell'accesso non autorizzato.

---

La sofisticazione degli attacchi continua ad aumentare: da allegati malevoli si è passati a comandi copiati da pagine web apparentemente innocue, e dal furto di credenziali si è passati alla manipolazione della catena di fiducia tra piattaforma, hotel e ospite. La protezione delle credenziali dell'Extranet non è più un compito informatico marginale: è un requisito primario per la continuità operativa, la tutela reputazionale e la conformità normativa dell'hotel.