Il phishing su Booking.com: come funziona l'attacco e come difendere il tuo hotel

Arriva un'email alla reception. Un ex ospite scrive che ha dimenticato il passaporto in camera tre giorni fa — ha bisogno di verificare se è ancora lì, allega una foto per identificarlo meglio. La reception apre il file. In quel momento, il computer della reception è compromesso.

Nei giorni successivi, gli hacker accedono all'Extranet di Booking.com con le credenziali rubate, scaricano la lista completa delle prenotazioni attive — nomi, date, importi — e iniziano a mandare messaggi agli ospiti direttamente dai canali ufficiali di Booking.com. Il messaggio arriva come se fosse dalla struttura. Dice che la prenotazione rischia la cancellazione entro 24 ore per un problema con la carta di credito. Include un link identico al sito di Booking.com. L'ospite inserisce i dati. I soldi spariscono.

Questo attacco — noto come campagna "I Paid Twice" o "Breach Booking" — non è un'ipotesi: è in corso adesso, su scala europea, con milioni di viaggiatori già colpiti e danni stimati in centinaia di milioni di euro.

Perché gli hotel sono il bersaglio perfetto

La reception è strutturalmente vulnerabile. Il personale di front-desk è professionalmente tenuto ad aprire comunicazioni da sconosciuti: email di ospiti, richieste speciali, documenti allegati. Lo fa decine di volte al giorno, spesso in condizioni di pressione — picco di check-in, telefono che squilla, ospite al banco. La soglia di attenzione cala.

Gli attaccanti lo sanno e costruiscono l'attacco esattamente intorno a questo: messaggi con urgenza apparente, allegati che sembrano legittimi, scenari che la reception gestisce ogni giorno.

Come funziona l'attacco: quattro fasi

Fase 1: ingegneria sociale sulla reception

L'attacco inizia con un'email di spear-phishing inviata all'indirizzo di contatto dell'hotel. Gli scenari più usati:

• Oggetto smarrito urgente: un ex ospite dichiara di aver dimenticato un documento d'identità o un passaporto, allega una "foto" per identificarlo.
• Reclamo con minaccia reputazionale: qualcuno minaccia una recensione devastante se l'hotel non verifica immediatamente un disservizio, allegando "prove".
• Richiesta speciale di prenotazione: un potenziale cliente chiede informazioni particolari documentate in un file allegato.

La prima email spesso non contiene nulla di malevolo — serve solo a costruire fiducia e ottenere una risposta. Nella seconda email arriva il link pericoloso, tipicamente su Google Drive o Dropbox (domini che l'antivirus non blocca). Il file scaricato è un archivio compresso che contiene un eseguibile camuffato da immagine o documento.

Fase 2: installazione del malware e furto delle credenziali

Una volta aperto l'allegato, sul computer della reception viene installato un Infostealer — un malware specializzato nel furto di credenziali salvate nel browser. Le famiglie più usate in questi attacchi sono Vidar e Lumma Stealer. Il malware scansiona tutti i browser, estrae le password salvate e le invia agli attaccanti.

Esiste anche una variante più recente chiamata ClickFix, usata dal gruppo criminale Storm-1865: invece di allegati, la vittima viene reindirizzata su una pagina che simula un errore del browser o un test CAPTCHA. La pagina chiede di copiare un comando e incollarlo nel terminale Windows (Win+R o PowerShell). Il comando scarica e installa silenziosamente il malware, senza che l'antivirus tradizionale lo rilevi.

Le credenziali rubate dell'Extranet di Booking.com vengono poi vendute nel dark web: i prezzi oscillano tra 30 e 2.000 dollari per singolo accesso verificato.

Fase 3: accesso all'Extranet e raccolta dati

Con le credenziali in mano, gli attaccanti accedono ad admin.booking.com e scaricano l'elenco completo delle prenotazioni attive: nomi degli ospiti, date di soggiorno, importi da pagare, canali di comunicazione. Sanno chi sta arrivando, quando e quanto deve ancora pagare.

Fase 4: la truffa agli ospiti

Sfruttando la messaggistica interna di Booking.com o l'indirizzo email mascherato degli ospiti (@guest.booking.com), i criminali inviano messaggi direttamente agli ospiti che hanno una prenotazione confermata. Il messaggio sembra provenire dall'hotel o da Booking.com stessa — e tecnicamente lo fa, perché parte dai canali ufficiali. I filtri anti-spam non lo bloccano.

Il contenuto: «La sua prenotazione rischia la cancellazione entro 24 ore per un problema con la carta di credito. Clicchi qui per verificare.» Il link porta a una pagina graficamente identica a Booking.com — stesso logo, stesso layout, stessi colori — ma con un URL diverso, spesso con un carattere cirillico invisibile al posto di una lettera latina. L'ospite inserisce i dati della carta. I soldi vengono sottratti.

La novità di settembre 2026: Booking.com blocca i numeri di telefono

A partire dal 28 settembre 2026, Booking.com ha smesso di inviare automaticamente i numeri di cellulare degli ospiti ai software gestionali terzi (PMS e Channel Manager). I recapiti telefonici sono ora accessibili solo manualmente dall'Extranet o dall'app ufficiale Pulse, protetta da autenticazione a due fattori.

L'obiettivo è limitare l'estrazione automatizzata di numeri telefonici in caso di compromissione del gestionale: se un PMS viene compromesso, gli attaccanti non trovano più i telefoni degli ospiti già pronti da usare per truffe via WhatsApp.

Se il tuo gestionale ha smesso di ricevere i numeri di cellulare dagli ultimi mesi, non è un bug: è una modifica deliberata di Booking.com.

Le tue responsabilità legali: GDPR e obbligo di notifica

Quando l'Extranet dell'hotel viene compromessa e i dati degli ospiti vengono esposti, si configura un data breach ai sensi del GDPR (Regolamento UE 2016/679). Come titolare del trattamento dei dati gestiti nei tuoi sistemi, hai due obblighi precisi:

• Art. 33 GDPR: notifica al Garante per la Privacy entro 72 ore dal momento in cui vieni a conoscenza della violazione, se sussiste un rischio per i diritti degli interessati.
• Art. 34 GDPR: se la violazione comporta un rischio elevato per gli ospiti (come nel caso di furto di dati finanziari), devi informare tempestivamente le persone coinvolte.

Il Garante per la Privacy italiano ha già avviato istruttorie formali sul settore alberghiero per verificare l'adeguatezza delle misure di sicurezza. Booking.com stessa ha ricevuto una sanzione di 475.000 euro dall'Autorità Garante olandese per ritardata notifica di un attacco informatico.

La complessità giuridica è reale: l'hotel subisce un attacco tramite ingegneria sociale, ma risponde della mancata custodia delle credenziali se le password sono state memorizzate nei browser della reception. Ignoranza della minaccia non è esimente.

Cosa fare adesso: la checklist pratica

Gestione delle credenziali

• Disattiva il salvataggio delle password nel browser della reception. Vidar e Lumma Stealer cercano esattamente lì. Chrome, Edge, Firefox — tutti hanno l'opzione di disabilitare il salvataggio automatico nelle impostazioni.
• Usa un password manager aziendale centralizzato (Bitwarden, 1Password Teams) invece del browser per conservare le credenziali dell'Extranet.
• Cambia la password di admin.booking.com adesso, se non lo hai fatto di recente.

Autenticazione a due fattori

• Attiva l'autenticazione a due fattori (2FA) su admin.booking.com e sull'email della reception. Con il 2FA, una password rubata non basta per entrare.

Protocolli operativi per la reception

• Non cliccare mai su link nelle email per accedere all'Extranet. Digita sempre manualmente admin.booking.com nella barra degli indirizzi o usa un preferito salvato.
• Se un'email da un presunto ospite contiene un link a Google Drive, Dropbox o OneDrive per "documenti smarriti" o "ricevute" — non aprirlo. Verifica l'ospite nel gestionale e, se necessario, contattalo per telefono.
• Qualsiasi messaggio che sollecita un'azione immediata con minaccia di penali o cancellazioni entro 24 ore è quasi certamente phishing. Trattalo come tale finché non è dimostrato il contrario.

Segnali da riconoscere negli ospiti

• Se un ospite ti contatta perché ha ricevuto un messaggio strano "da te" che chiede di riverificare la carta — probabilmente il tuo Extranet è già compromesso. Agisci subito.
• Booking.com non chiede mai di reinserire dati di pagamento tramite link inviati via messaggistica interna. Se un ospite riceve questo tipo di messaggio, è una truffa.

Cosa fare se sei già stato colpito

1. Cambia immediatamente la password di admin.booking.com e dell'email associata.
2. Attiva il 2FA se non è già attivo.
3. Contatta il supporto Booking.com per segnalare l'accesso non autorizzato.
4. Informa gli ospiti con prenotazioni attive nel periodo di esposizione che potrebbero ricevere comunicazioni fraudolente.
5. Valuta la notifica al Garante Privacy entro 72 ore se i dati degli ospiti sono stati esposti.
6. Fai scansionare il computer della reception da un tecnico informatico per rilevare eventuali malware residui.

---

La reception è il punto di accesso più vulnerabile dell'hotel. Non perché il personale sia impreparato, ma perché aprire comunicazioni da sconosciuti è il lavoro. Conoscere questa truffa — come inizia, come si sviluppa, cosa chiedere prima di aprire un allegato — è la difesa più concreta che puoi mettere in campo adesso, prima che succeda.