Immaginate: avete appena prenotato un hotel a Barcellona, conferma ricevuta, tutto a posto, già la testa in vacanza. E poi arriva un messaggio WhatsApp con il nome dell’hotel giusto, le date giuste e il prezzo giusto. “Il suo pagamento non ha potuto essere elaborato, la preghiamo di confermare i dati della carta di credito tramite il seguente link, altrimenti la sua prenotazione verrà cancellata.” Clicchereste? La maggior parte delle persone lo fa, ed è esattamente questo che rende la truffa così efficace.
A inizio giugno l’UFCS ha segnalato esattamente questa ondata di phishing che passa attraverso piattaforme di prenotazione e WhatsApp. Quello che l’avviso non dice esplicitamente ma che spiega tutto: nell’aprile 2026 Booking.com ha subito un data leak in cui sono stati sottratti dati di prenotazione di milioni di utenti. La campagna di phishing attuale ne è la conseguenza diretta.
Come funziona l’attacco
Quello che rende questa truffa così pericolosa è che tutto sembra vero, e non “vero” nel senso di “imitazione decente” ma proprio autentico. Il nome del vostro hotel, le vostre date di viaggio, il prezzo della prenotazione. Il messaggio sembra una comunicazione standard della piattaforma e poi arriva la pressione: “Confermate ora, o la prenotazione viene cancellata.”
Chi vuole rischiare che salti la vacanza per un problema di pagamento? Esattamente su questo puntano gli aggressori. Il link porta a un sito praticamente identico alla vera pagina di Booking.com; numero di carta, data di scadenza, codice di sicurezza, tutto digitato, tutto perso.
Ma c’è di peggio, perché in alcuni casi gli aggressori non usano nemmeno WhatsApp o email ma scrivono attraverso la chat interna della piattaforma di prenotazione. Si sono introdotti nell’account dell’hotel e mandano messaggi direttamente dal sistema, così dal punto di vista della vittima è l’hotel che scrive. Come fai a capire la differenza?
Il data leak di Booking.com
Nell’aprile 2026 Booking.com ha confermato un incidente di sicurezza: nomi, indirizzi email, date di viaggio, nomi degli hotel e informazioni parziali di pagamento erano finiti in mani di terzi. L’azienda ha sottolineato che non sono stati colpiti dati completi delle carte di credito, il che è probabilmente vero ma è una magra consolazione.
Perché gli aggressori non avevano bisogno dei numeri delle carte, dato che quelli li ottengono proprio con il phishing. Quello che serviva era il contesto, ovvero prenotazioni vere con dettagli veri per costruire messaggi credibili, ed è esattamente ciò che il leak ha fornito. I ricercatori di sicurezza tra l’altro seguono la campagna da marzo 2026, prima ancora che Booking.com confermasse ufficialmente il leak; i dati circolavano evidentemente già settimane prima della comunicazione pubblica…
Perché riguarda anche le PMI
Due parole: viaggi d’affari. Ogni azienda i cui dipendenti prenotano tramite Booking.com, Expedia o piattaforme simili (e in Svizzera sono tantissime) è un potenziale bersaglio. I messaggi di phishing arrivano su indirizzi email aziendali e cellulari aziendali, e quando un collaboratore inserisce la carta di credito aziendale attraverso uno di questi link non è il suo conto personale a essere a rischio ma quello dell’azienda.
E poi c’è l’altro lato della medaglia, perché hotel e strutture svizzere che usano Booking.com come canale di vendita devono sapere che i loro account sulla piattaforma sono obiettivi di account takeover. Un account alberghiero compromesso viene usato per fare phishing ai clienti direttamente dalla piattaforma, e chi ci rimette la reputazione? L’hotel, non Booking.com.
Cosa fare
Se viaggiate: qualsiasi messaggio che vi chiede di reinserire dati di pagamento tramite un link è sospetto. Nessuna piattaforma seria lo chiede via WhatsApp, email o chat. Nel dubbio accedete direttamente dal sito ufficiale o dall’app, mai dal link che vi hanno mandato, e verificate voi stessi se c’è davvero un problema.
Se gestite un’azienda: basta un avviso rapido alla prossima riunione di team o via messaggio interno. “Chi ha prenotato su Booking.com e riceve un messaggio sulla conferma del pagamento: non rispondete, controllate direttamente sul sito ufficiale.” Tre frasi che possono evitare danni seri.
Se gestite un hotel: autenticazione a due fattori sugli account della piattaforma, subito. E controllate regolarmente se dal vostro account sono stati inviati messaggi che non avete scritto voi.
Il quadro più ampio
Questo caso mostra uno schema che nel nostro lavoro incontriamo sempre più spesso: un data leak presso un fornitore terzo fornisce agli aggressori il contesto per phishing altamente personalizzato. L’attacco vero arriva settimane dopo e non colpisce il gestore della piattaforma ma gli utenti finali, ovvero voi, i vostri dipendenti, i vostri clienti. L’anello più debole della catena è spesso un servizio che non avevate nemmeno nel radar dei rischi…
Nei nostri security assessment analizziamo anche i rischi legati a terze parti: quali piattaforme usano i vostri collaboratori, quali dati ci sono, e cosa succede se uno di questi servizi viene compromesso? Se volete saperlo: parliamone.
Fonti: UFCS Retrospettiva settimanale KW 22, BleepingComputer: Booking.com Data Breach