Caso reale
Siamo nel pieno della stagione delle partenze: agosto è il mese in cui in Italia si concentra il maggior numero di prenotazioni di hotel e appartamenti su Booking, Airbnb e piattaforme simili, ed è proprio in questo periodo che aumentano le segnalazioni di truffe legate alle prenotazioni. Un messaggio WhatsApp che conosce nome, hotel e date esatte di una vera prenotazione non è una prova di autenticità: è quasi sempre il segnale che i dati sono stati sottratti a monte, nella casella email o nell'extranet della struttura ricettiva. È quello che è successo a un amico prossimo a un nostro dipendente, che aveva davvero prenotato la struttura indicata nel messaggio per un soggiorno estivo.
| Elemento | Servizio di verifica ospiti reale | Link ricevuto nella truffa |
|---|---|---|
| Dominio | Dominio ufficiale del servizio, unico e coerente in ogni comunicazione | Dominio diverso, con trattino al posto del nome unito ed estensione economica (.shop) |
| Canale di invio | Email dalla struttura o link generato nell'app/portale ufficiale di prenotazione | Messaggio WhatsApp da numero business estero non riconducibile alla struttura |
| Aspetto grafico | Coerente con il dominio ufficiale, verificabile digitando l'indirizzo a mano | Pagina che imita l'aspetto di un vero portale di verifica identità |
Il punto va chiarito subito, perché è la chiave di lettura di tutto il caso: esistono davvero servizi legittimi di verifica identità per il check-in online, usati da diversi operatori del settore alberghiero, con un proprio dominio ufficiale, stabile e sempre identico. Il link ricevuto nella truffa, invece, porta a un dominio soltanto simile nel nome ma sostanzialmente diverso da quello originale, registrato con un'estensione tra le più economiche in assoluto e per questo tra le più usate nei siti creati apposta per il phishing travel. La somiglianza è voluta: serve a chi riceve il messaggio per abbassare la guardia, ma un controllo diretto del dominio, senza cliccare, basta a smascherarla.
Perché l'estate è il periodo più a rischio
Non è una sensazione: agosto è statisticamente il momento dell'anno in cui le truffe legate alle prenotazioni di viaggi e alloggi aumentano in modo sensibile. Ogni estate Polizia di Stato e Polizia Postale rinnovano campagne di prevenzione insieme a piattaforme come Airbnb, proprio perché nel periodo delle ferie si concentra il maggior numero di prenotazioni online dell'anno, complici la chiusura delle scuole e la pianificazione delle vacanze da parte di milioni di famiglie italiane.
Secondo le stime più recenti diffuse dalla Polizia Postale, le vittime di truffe legate ai viaggi in Italia superano il milione e mezzo di persone ogni stagione estiva, con la fascia più colpita che, contrariamente a quanto si potrebbe pensare, non è quella degli anziani ma quella dei giovani tra i 18 e i 24 anni, più veloci nell'uso delle piattaforme ma anche più propensi a saltare le verifiche per fretta. Gli over 65 restano invece la fascia più prudente, con un'incidenza minima sul totale delle segnalazioni.
A questo si aggiunge un fattore psicologico che il caso raccontato in questo articolo rende evidente: chi è in procinto di partire, magari a ridosso delle ferie, è più incline a reagire d'istinto a un messaggio che minaccia la perdita della prenotazione, proprio perché l'idea di restare senza alloggio nei giorni immediatamente precedenti al viaggio genera un'ansia che i truffatori sfruttano deliberatamente.
Il caso: un messaggio "troppo preciso" per essere vero
La vicenda riguarda un amico prossimo a un nostro dipendente, che aveva effettivamente una prenotazione confermata per un soggiorno in Spagna, per il periodo indicato. Per tutelare la struttura coinvolta, che è a sua volta vittima indiretta della vicenda, non ne indichiamo il nome né la località esatta: quello che conta, ai fini di questo articolo, è il meccanismo della truffa, non l'identità dell'hotel. Poche ore dopo aver ricevuto la conferma della prenotazione, gli è arrivato su WhatsApp un messaggio da un numero con prefisso brasiliano (+55), impostato come account WhatsApp Business, che si presentava come "check-in manager" della struttura.
Il messaggio riportava correttamente il nome della persona, il nome della struttura e le date esatte del soggiorno, e chiedeva di completare una "verifica obbligatoria dei dati dell'ospite" entro 12 ore tramite un link, pena la perdita della prenotazione, specificando che la procedura era "gratuita" e richiesta "anche per le prenotazioni già pagate".
🔍 Clicca sull'immagine per ingrandirla
Il destinatario, prima di agire, ha notato diverse incongruenze, ha verificato i segnali d'allarme uno per uno e ha bloccato il numero senza cliccare sul link né inserire alcun dato. Proprio l'analisi di quei segnali, e del meccanismo che li rende possibili, è l'oggetto di questo articolo.
Perché è una truffa: i segnali che non lasciano dubbi
Presi singolarmente, alcuni di questi elementi potrebbero avere una spiegazione innocente. Insieme, però, formano uno schema riconoscibile e ormai documentato da fonti autorevoli come ACN e dalla Polizia Postale.
- Numero WhatsApp Business estero incoerente con la struttura: un prefisso brasiliano (+55) per un hotel spagnolo non ha alcuna giustificazione legittima.
- Dominio del link non ufficiale: il link non porta al sito della piattaforma di prenotazione né a quello della struttura, ma a un dominio generico con estensione economica, tipica dei siti usa e getta creati per il phishingTecnica che imita comunicazioni legittime per rubare dati o denaro, spesso tramite un link a un sito falso. travel.
- Urgenza artificiale: la scadenza delle 12 ore è pensata per spingere a cliccare senza verificare, un classico elemento di pressione psicologica.
- "Verifica obbligatoria" anche su prenotazioni già pagate: nessuna piattaforma o struttura seria richiede una verifica identità tramite link esterno per un soggiorno già confermato e saldato.
- Dati corretti ma non generati dalla vittima: nome, hotel e date reali non provano l'autenticità del messaggio, sono anzi il segnale più forte di una violazione a monte dei sistemi della struttura o della piattaforma.
La parte tecnica: come i truffatori intercettano prenotazioni reali
La domanda che si pongono quasi tutte le vittime è la stessa: come facevano a sapere esattamente dove e quando avrei soggiornato? La risposta, secondo le analisi più recenti condotte da esperti di sicurezza informatica e forense, non coinvolge una violazione diretta di Booking, Airbnb o delle grandi piattaforme, ma un punto più debole della filiera.
- Compromissione della casella email dell'hotel. Con una campagna di phishing mirata, i criminali rubano le credenziali della casella email o dell'extranetPannello di gestione online che le strutture ricettive usano per amministrare le prenotazioni ricevute dalle piattaforme come Booking o Airbnb. della struttura, cioè il pannello dove l'hotel gestisce tutte le prenotazioni ricevute dalle piattaforme.
- Inoltro automatico silenzioso. Una volta dentro, configurano filtri e regole di inoltro automatico che copiano ogni nuova prenotazione in arrivo, senza che il titolare della struttura se ne accorga.
- Costruzione del messaggio con dati veri. Nome dell'ospite, struttura, date e talvolta importo pagato vengono usati per scrivere un messaggio di smishingVariante del phishing condotta tramite SMS o app di messaggistica come WhatsApp invece che via email. estremamente credibile, il cosiddetto spear phishingAttacco di phishing mirato, costruito su misura con informazioni reali della vittima per aumentarne la credibilità., cioè un attacco mirato costruito su misura.
- Contatto diretto con l'ospite. Il messaggio arriva su WhatsApp, spesso con un ultimatum temporale, e porta a un finto portale che chiede dati della carta "per la cauzione" o "per confermare l'identità".
Questo schema spiega anche perché, come nel caso qui raccontato, la struttura citata nel messaggio fosse un'azienda realmente esistente nel settore degli affitti turistici, e perché il concept del "servizio di verifica ospiti" richiamasse un servizio legittimo di identity verification alberghiera realmente in uso nel settore: i truffatori sfruttano nomi e servizi esistenti, a volte persino domini molto simili a quelli originali, proprio per aumentare la credibilità dell'inganno agli occhi di chi fa una verifica superficiale.
| Segnale | Comunicazione legittima | Messaggio della truffa |
|---|---|---|
| Canale di contatto | Email o area riservata della piattaforma | WhatsApp da numero estero non riconducibile alla struttura |
| Dominio del link | Dominio ufficiale della piattaforma o della struttura | Dominio generico, spesso con estensione economica |
| Richiesta su prenotazioni pagate | Nessuna verifica extra dopo il pagamento confermato | "Verifica obbligatoria" richiesta anche a saldo avvenuto |
| Tempistica | Nessuna scadenza artificiale | Ultimatum di poche ore per creare pressione |
Cosa fare, prima e dopo
Se non hai cliccato sul link
Blocca subito il numero da WhatsApp e segnalalo come spam, non rispondere in alcun modo, e verifica la tua prenotazione solo tramite il sito ufficiale della piattaforma o chiamando la struttura con un numero trovato in modo indipendente, mai con quello ricevuto nel messaggio.
Se hai cliccato o inserito dati
Se hai inserito dati della carta, contatta subito la tua banca per bloccarla e valutare l'opposizione dell'addebito. Se hai inserito documenti d'identità, valuta una segnalazione alla Polizia Postale. Se temi che il dispositivo stesso possa aver subito un'installazione indesiderata dopo aver aperto il link, è il momento di una verifica tecnica del telefono.
Hai cliccato su un link sospetto e temi che il tuo smartphone sia compromesso?
Il nostro servizio di controllo tecnico verifica segnali di spyware, accessi anomali e software non autorizzato.
Se invece la truffa ha già causato un danno economico o servono evidenze digitali documentate per una denuncia o un contenzioso, per esempio per ricostruire con valore probatorio come sono stati sottratti i dati o come è avvenuto l'addebito, il supporto di un perito informatico forense permette di acquisire e conservare le prove nel rispetto della catena di custodia.
Hai bisogno di un'analisi forense o di supporto tecnico per una denuncia?
Realizziamo perizie informatiche e acquisizione forense di dati utilizzabili in sede legale.
Le persone chiedono anche
Booking.com può essere stato violato direttamente?
È molto improbabile: se la piattaforma fosse stata compromessa direttamente, l'impatto sarebbe enorme e verrebbe scoperto quasi subito. Gli esperti di sicurezza informatica concordano che il punto debole sono le email o gli extranet delle singole strutture ricettive, non l'infrastruttura centrale della piattaforma.
Perché il truffatore conosce anche l'importo pagato?
Perché quel dato è visibile nella stessa notifica di prenotazione che l'hotel riceve via email o tramite extranet, quindi rientra tra le informazioni intercettate insieme a nome, date e struttura.
La verifica dell'identità ospite è sempre una truffa?
No, alcuni hotel usano davvero servizi legittimi di verifica identità per il check-in online. La differenza sta nel dominio del link, che deve essere quello ufficiale del servizio o della struttura, e nel fatto che una prenotazione già pagata non dovrebbe richiedere ulteriori verifiche "obbligatorie" con scadenze artificiali.
Domande frequenti
Come faccio a capire se un link ricevuto su WhatsApp è affidabile?
Controlla il dominio con attenzione prima di cliccare: deve corrispondere esattamente al sito ufficiale della piattaforma o della struttura, senza trattini o parole aggiunte, e senza estensioni insolite. In caso di dubbio, non cliccare e verifica tramite il sito ufficiale digitato direttamente nel browser.
Perché i truffatori usano proprio WhatsApp Business?
Perché un account WhatsApp Business dà un'apparenza professionale, con nome struttura, foto profilo e descrizione, aumentando la credibilità percepita rispetto a un numero personale qualunque.
Cosa rischio se ho già inserito i dati della carta?
Contatta immediatamente la tua banca per bloccare la carta e monitorare eventuali movimenti sospetti, e valuta una segnalazione alla Polizia Postale, meglio se accompagnata da uno screenshot della conversazione.
L'hotel è responsabile se i miei dati sono stati intercettati così?
Dipende dal caso specifico e da come è avvenuta la compromissione: se i sistemi della struttura sono stati violati per colpa di misure di sicurezza insufficienti, possono emergere responsabilità sul piano della protezione dei dati personali, valutabili con l'assistenza di un professionista.