Attacco hacker a Booking.com: dati utenti esposti e rischio phishing mirato

Booking.com conferma un accesso non autorizzato ai dati delle prenotazioni. Nomi, email, indirizzi e dettagli dei soggiorni finiti nelle mani di terze parti. S…

Contenuto

Attacco hacker a Booking.com: dati utenti esposti e rischio phishing mirato

Scopri anche

Attacco hacker a Booking.com: dati utenti esposti e rischio phishing mirato

Booking.com conferma accesso non autorizzato ai dati: scatta l'allerta phishing

In questo articolo:

Booking.com ha inviato comunicazioni agli utenti interessati informandoli che "terze parti non autorizzate potrebbero aver avuto accesso a certe informazioni associate con la tua prenotazione". L'azienda ha confermato di aver rilevato "attività sospette che coinvolgevano terze parti non autorizzate in grado di accedere ad alcune informazioni di prenotazione dei nostri ospiti". Secondo quanto riportato dalle comunicazioni inviate agli utenti, i dati potenzialmente esposti includono: nome, indirizzo email, indirizzo fisico, numero di telefono, dettagli della prenotazione e qualsiasi altra informazione condivisa con la struttura ricettiva.

La società con sede ad Amsterdam, che elenca oltre 30 milioni di strutture ricettive nel mondo, ha specificato che "non è stato effettuato l'accesso alle informazioni finanziarie". Un portavoce di Booking ha dichiarato al Guardian che i dati di pagamento non risultano compromessi. L'azienda ha rifiutato di fornire il numero effettivo di utenti coinvolti: interrogata da TechCrunch, la portavoce Courtney Camp non ha risposto alla domanda.

Phishing mirato: i messaggi già arrivano su WhatsApp

⬆ Torna su

Nelle ore successive alla comunicazione di Booking, numerosi utenti hanno segnalato di aver ricevuto messaggi sospetti. Le segnalazioni riguardano comunicazioni via email e WhatsApp che sfruttano i dati reali delle prenotazioni per costruire truffe più convincenti. Un utente Reddit con nickname EnutniSDM ha raccontato di essere stato contattato tramite un account WhatsApp Business che gli chiedeva di confermare i dati di pagamento. Il truffatore era in possesso di: nome, numero di telefono, email, codice ID di Booking e tutti i dettagli della prenotazione effettuata sulla piattaforma.

Si tratta di una forma avanzata di phishing definita "spear phishing": attacchi costruiti su misura per il singolo utente. La presenza di informazioni autentiche sulla prenotazione rende i messaggi più difficili da riconoscere rispetto alle truffe tradizionali. I messaggi segnalano presunti problemi con il pagamento o anomalie nella prenotazione, invitando a cliccare su link esterni per inserire nuovamente dati personali o bancari. Le pagine di destinazione imitano l'interfaccia di Booking, con informazioni già precompilate.

L'ipotesi dell'attacco indiretto: vulnerabilità nei sistemi dei partner

⬆ Torna su

L'origine dell'accesso non autorizzato resta poco chiara. Booking ha parlato genericamente di "attività sospette", senza specificare se la violazione abbia colpito i propri sistemi centrali oppure sistemi terzi. L'analista di cybersecurity Pierluigi Paganini, CEO di Cybhorus, definisce la comunicazione di Booking "un'affermazione interlocutoria che fornisce poche informazioni significative sull'incidente".

Dario Fadda, esperto di cyber e collaboratore di Cybersecurity360.it, ritiene che "il data breach sia degli hotel o di un suo fornitore di software. Se Booking fosse bucato, la comunicazione sarebbe arrivata a tutti o comunque resa pubblica con maggiori dettagli". Paolo Dal Checco ha escluso l'ipotesi del brute force sulle password degli utenti, considerandola la meno probabile. Paganini segnala che sarebbe utile sapere se gli utenti colpiti avevano attivato l'autenticazione a due fattori (2FA): in tal caso "la situazione sarebbe completamente differente e paleserebbe la compromissione dei sistemi aziendali".

Gli hacker spesso non colpiscono direttamente la piattaforma centrale, ma sfruttano vulnerabilità nei sistemi degli hotel partner. Attraverso malware installati sui computer delle strutture, riescono ad accedere ai portali di gestione delle prenotazioni e ai dati degli utenti. Questo rende l'ecosistema particolarmente fragile: basta un "anello debole" nella catena per esporre informazioni sensibili.

Precedenti: attacchi al settore travel già documentati

⬆ Torna su

L'episodio non è isolato. Nel 2018 alcuni cybercriminali convinsero dipendenti di hotel negli Emirati Arabi a cedere le credenziali di accesso ai sistemi interni, spacciandosi per tecnici o personale di supporto. Riuscirono ad accedere ai dati di circa 4.000 persone e oltre 280 carte di credito. Nel 2024 diversi hotel partner sono stati infettati da spyware che permettevano di intercettare credenziali e informazioni di prenotazione dai sistemi interni.

Nel gennaio 2026 era stata rilevata una campagna malware che sfruttava una falsa pagina di Booking.com per costringere gli utenti a copiare porzioni di codice e incollarle nella finestra "Esegui" di Windows. Nel settembre 2023, Akamai aveva documentato criminal hacker che utilizzavano un approccio indiretto e una falsa pagina di pagamento di Booking.com per ottenere accesso illimitato ai dati finanziari dei clienti.

Cosa fare: le misure preventive consigliate

⬆ Torna su

Di fronte alla situazione, Booking invita gli utenti a prestare attenzione ai potenziali attacchi di phishing. La piattaforma specifica che "non chiederà mai agli utenti di condividere i dati della carta di credito via email, telefono, WhatsApp o SMS, né di effettuare un bonifico bancario diverso dai dettagli della politica di pagamento riportati nella conferma della prenotazione".

Il primo campanello d'allarme è il senso di urgenza: messaggi che spingono ad agire rapidamente per evitare la cancellazione della prenotazione sono spesso sospetti. È necessario verificare il mittente: email con domini non ufficiali o numeri di telefono con prefissi insoliti possono indicare un tentativo di truffa. Per i messaggi WhatsApp, è consigliabile verificare che il numero corrisponda a quello ufficiale della struttura. I link esterni rappresentano un rischio concreto, soprattutto se chiedono l'inserimento di dati sensibili.

Gli esperti consigliano di non cliccare su link sospetti, non fornire mai dati personali o bancari tramite canali non verificati e non effettuare pagamenti richiesti in modo improvviso. In caso di dubbi, è meglio contattare direttamente la struttura ricettiva usando i recapiti ufficiali o rivolgersi al servizio clienti di Booking. Verificare lo stato delle prenotazioni accedendo al proprio account è un passaggio utile per evitare errori. Tra le misure preventive: cambiare la password dell'account scegliendone una complessa, attivare l'autenticazione a due fattori per i pagamenti, utilizzare carte prepagate o con limiti ridotti per contenere eventuali danni economici.

Reazione del Codacons: "Vulnerabilità dei sistemi"

⬆ Torna su

Il Codacons ha definito l'accaduto "molto grave" ed emblematico della "vulnerabilità dei sistemi informatici delle grandi multinazionali". L'associazione dei consumatori ha comunicato di essere pronta "alla battaglia legale e ad azioni risarcitorie contro Booking per conto di tutti i clienti della nota piattaforma che subiranno danni a seguito dell'hackeraggio dei dati relativi agli utenti". Secondo l'associazione, le informazioni sottratte "potrebbero essere usate dai cybercriminali per realizzare truffe a danno dei clienti e sottrarre denaro: diversi utenti starebbero già ricevendo messaggi da finte strutture ricettive che, per confermare le prenotazioni, chiedono nuovamente dati bancari e carte di credito". Il Codacons invita i clienti italiani a cestinare qualsiasi messaggio riconducibile a prenotazioni dove si richiedono informazioni personali e bancarie.

Questo articolo è una sintesi basata esclusivamente sulle fonti elencate.

Implicazioni e scenari

⬆ Torna su

L'esposizione di dati personali legati alle prenotazioni apre a rischi concreti di truffe mirate. La natura dell'incidente, ancora poco chiara, solleva interrogativi sulla sicurezza dell'intero ecosistema delle piattaforme di viaggio.

  • Scenario 1: Se l'accesso non autorizzato deriva da sistemi compromessi presso i partner, il problema potrebbe estendersi oltre Booking, coinvolgendo altre piattaforme del settore travel.
  • Scenario 2: Lo spear phishing già segnalato su WhatsApp potrebbe intensificarsi, con attacchi sempre più sofisticati basati sui dettagli reali delle prenotazioni.
  • Scenario 3: Le azioni legali annunciate dal Codacons potrebbero spingere verso maggiore trasparenza sugli incidenti e nuove misure di tutela dei consumatori.

Cosa monitorare

⬆ Torna su
  • Eventuali aggiornamenti ufficiali sul numero reale di utenti coinvolti.
  • Nuove segnalazioni di tentativi di phishing sfruttanti i dati esposti.
  • Risposte normative o iniziative legislative a tutela dei consumatori.

Nota editoriale: questa sezione propone una lettura analitica dei temi trattati, senza introdurre dati fattuali non presenti nelle fonti.

Fonti

⬆ Torna su

In breve

  • cybersecurity
  • phishing
  • malware
  • vulnerabilita

Link utili

Apri l'articolo su DeafNews