Oggi le truffe legate a Booking.com sono diventate più difficili da riconoscere perché non si basano più solo su email generiche, scritte male o inviate a caso. In molti casi gli attaccanti usano dati reali della prenotazione, come nome della struttura, date del soggiorno, numero di conferma e riferimenti personali del viaggiatore.
È questo che rende il raggiro così efficace: il messaggio sembra arrivare da un canale legittimo e contiene informazioni che solo Booking, l’hotel o il cliente dovrebbero conoscere.
Da dove arrivano i dati usati nelle truffe?
Il punto più importante da chiarire è questo: nella maggior parte dei casi non si parla di una compromissione diretta dei sistemi centrali di Booking.com, ma dell’accesso abusivo ad account di strutture ricettive partner.
Per un criminale informatico, entrare nell’account di un hotel significa poter leggere dati di prenotazione veri e, in alcuni casi, contattare gli ospiti attraverso canali che appaiono affidabili.
Come avviene la compromissione
Gli aggressori puntano spesso sul personale delle strutture, con email di phishing costruite per sembrare comunicazioni operative, reclami di ospiti o richieste urgenti. In altri casi sfruttano credenziali già rubate, malware sui dispositivi aziendali o vulnerabilità presenti in software e plugin di terze parti usati dagli hotel.
Quali dati vengono usati
Anche quando i dati di pagamento non risultano esposti, possono finire nelle mani degli attaccanti informazioni sufficienti per costruire una truffa credibile: nome e cognome, indirizzo email, numero di telefono, struttura prenotata, date del soggiorno, messaggi scambiati con l’hotel e numero reale della prenotazione.
Perché questi attacchi funzionano?
La differenza rispetto al phishing tradizionale è la precisione. Qui il messaggio non dice semplicemente “il tuo account è bloccato”. Dice, per esempio, che la prenotazione presso una certa struttura, in una certa data, rischia di essere cancellata se non si completa subito una verifica. È spear phishing: un attacco costruito su misura per una persona specifica. Nel dettaglio:
- messaggi nell’app, email e WhatsApp: dopo aver compromesso un account partner, i truffatori possono inviare comunicazioni che sembrano provenire dalla struttura. Il pretesto più comune è una presunta verifica della carta, un pagamento non andato a buon fine o la necessità di confermare la prenotazione per evitare la cancellazione
- SMS e telefonate fraudolente: alcune campagne usano messaggi di testo che simulano addebiti imminenti o problemi di pagamento. L’obiettivo è spingere la vittima a cliccare su un link, chiamare un numero falso o fornire dati bancari nel momento di massima urgenza
- pagine clone: i link portano spesso a siti che imitano l’interfaccia di Booking.com o della struttura prenotata. La pagina può sembrare professionale, ma è progettata per rubare credenziali, dati della carta e codici OTP.
I segnali da non ignorare
Il problema è che questi messaggi possono sembrare autentici. Proprio per questo bisogna concentrarsi sui comportamenti anomali, non solo sull’aspetto grafico della comunicazione:
- urgenza forzata: richieste di azione immediata entro poche ore, spesso accompagnate dalla minaccia di cancellazione del soggiorno
- richieste fuori dai canali ufficiali: pagamenti, bonifici, dati della carta o codici di verifica richiesti via WhatsApp, SMS, email esterna o link non verificabili
- link sospetti: indirizzi che non corrispondono al dominio ufficiale, URL accorciati, caratteri insoliti o pagine che chiedono di reinserire dati già forniti in fase di prenotazione
- incongruenze nel pagamento: durante la transazione il nome del beneficiario, del commerciante o della pagina di pagamento non coincide con la struttura prenotata o con Booking.com.
Come difendersi prima e dopo il tentativo di truffa
La regola di base è semplice: non fidarsi mai di un link ricevuto in un momento di pressione. Anche se il messaggio contiene dati corretti, la verifica deve partire sempre dall’utente, non dal link proposto dall’interlocutore.
Azioni preventive per chi viaggia
Per capire se una comunicazione è davvero affidabile, conviene osservare alcuni segnali ricorrenti che spesso tradiscono il tentativo di truffa:
- accedere solo dall’app o dal sito ufficiale: se arriva una richiesta di pagamento o verifica, chiudere il messaggio e aprire manualmente l’app o il sito di Booking.com. La prenotazione va controllata da lì
- non condividere dati sensibili via chat: numeri di carta, codici OTP, credenziali e bonifici non devono essere comunicati tramite messaggi, nemmeno se il contatto sembra la struttura prenotata
- proteggere l’account: usare una password unica, non riutilizzata su altri servizi, e attivare l’autenticazione a due fattori quando disponibile.
Cosa fare se si è già cliccato o si sono inseriti dati?
Se si è già aperto un link sospetto o si sono inseriti dati personali o bancari, la priorità è ridurre subito il danno e impedire ulteriori accessi non autorizzati:
- Cambiare subito la password: aggiornare le credenziali dell’account Booking.com e di eventuali altri servizi in cui è stata usata la stessa password;
- Contattare la banca: se sono stati inseriti dati di pagamento, bloccare o monitorare la carta e segnalare immediatamente l’operazione sospetta all’istituto bancario;
- Segnalare l’accaduto: informare l’assistenza ufficiale di Booking.com, la struttura tramite un contatto verificato e, in caso di frode, la Polizia Postale.
L’illusione della fiducia
Le truffe Booking mostrano bene una tendenza ormai consolidata nella cybersecurity: il phishing non è più solo un problema di email sospette, ma di fiducia compromessa. Se un criminale riesce a usare dati veri e canali apparentemente legittimi, la vittima non cade perché è distratta, ma perché il contesto sembra coerente.
Per questo il dettaglio reale di una prenotazione non basta più a dimostrare l’autenticità di un messaggio. La difesa più efficace resta una: interrompere il flusso imposto dall’attaccante, non cliccare sul link ricevuto e verificare tutto direttamente dai canali ufficiali.
