Booking, l’attacco hacker ai dati degli utenti e i rischi del furto delle prenotazioni

16/04/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   L’ennesimo attacco informatico che ha preso di mira Booking.com, la piattaforma leader nel settore dei viaggi online, ha innescato una fibrillazione silenziosa ma profonda tra i milioni di utenti che affidano a questo colosso olandese la gestione dei propri soggiorni. A innescare l’allarme è stata una comunicazione ufficiale inviata direttamente dall’azienda, la quale – dopo aver rilevato quella che definisce come “attività sospetta” – ha confermato l’esistenza di un accesso non autorizzato a una parte consistente dei dati legati ad alcune prenotazioni. Se da un lato l’azienda, attraverso il proprio portavoce, ha immediatamente cercato di arginare il panico assicurando che “non è stato effettuato l’accesso alle informazioni finanziarie” (escludendo quindi il furto diretto dei dati delle carte di credito), dall’altro la natura dei dati esfiltrati resta tutt’altro che innocua e apre scenari di rischio significativi per la sicurezza personale degli iscritti.

L’entità della violazione e i dati sottratti

Secondo le ricostruzioni fornite dalla stessa società di prenotazioni e dalle autorità che stanno monitorando il fenomeno, gli hacker sono riusciti a mettere le mani su un pacchetto di informazioni dettagliate. Quest’ultimo include non solo i nomi e i cognomi dei viaggiatori, ma anche gli indirizzi email, i numeri telefonici, gli indirizzi fisici e, aspetto forse più preoccupante, i dettagli completi delle prenotazioni. In pratica, chi ha effettuato una prenotazione recente rischia che i malviventi conoscano la destinazione, le date del soggiorno e persino il nome della struttura ricettiva prescelta. In alcuni casi, stando alle segnalazioni che circolano sul web, potrebbero essere state compromesse anche le comunicazioni private scambiate con gli host, come richieste particolari o messaggi gestiti tramite la chat interna della piattaforma. La Polizia Postale, intervenuta sulla vicenda con un avviso ufficiale, ha messo in guardia i cittadini specificando che tra i dati esposti figurano “indirizzi email, numeri di telefono e dettagli delle prenotazioni, oltre ad eventuali altre informazioni condivise con le strutture ricettive”, una conferma che il perimetro della violazione è più ampio di una semplice sottrazione di contatti.

Il meccanismo dell’attacco e l’incertezza sulle cause

Non è ancora del tutto chiaro se la breccia si sia aperta direttamente nei server centrali di Booking o se, ipotesi ritenuta più probabile dagli analisti, il vettore d’attacco abbia riguardato i sistemi informatici degli hotel partner. Questa distinzione, sebbene tecnica, è cruciale: se la falla fosse nei gestionali delle singole strutture ricettive, l’attacco rappresenterebbe un “effetto collaterale” di una vulnerabilità a catena piuttosto che un cedimento delle difese primarie della piattaforma. Booking, nella sua comunicazione, ha fatto riferimento a “terze parti non autorizzate” in grado di accedere alle informazioni, un’espressione generica che lascia volutamente aperti diversi scenari investigativi. Quel che è certo, come hanno notato gli esperti di sicurezza, è che l’azienda non ha chiesto agli utenti di modificare le proprie password di accesso principali – suggerendo indirettamente che i server di autenticazione potrebbero non essere stati toccati – ma si è limitata a resettare i PIN (codici identificativi) associati alle singole prenotazioni in corso, una mossa necessaria per evitare che i criminali potessero modificare o cancellare i soggiorni già confermati.

L’arma del phishing mirato e le comunicazioni ingannevoli

Il vero pericolo, per chi è finito nel mirino, non risiede tanto nella sottrazione dei dati in sé quanto nell’uso che verrà fatto di quelle informazioni. Disporre del numero di telefono e della data esatta del check-in di una persona permette ai criminali di orchestrare attacchi di “spear phishing” (pesca mirata) estremamente credibili. Immaginiamo uno scenario in cui, pochi giorni prima della partenza, l’utente riceve un messaggio su WhatsApp o una mail apparentemente inviata dalla struttura ricettiva; nel testo, il finto albergatore cita il numero della prenotazione e la data del soggiorno – dettagli che solo il sistema ufficiale di Booking dovrebbe conoscere – e chiede un pagamento urgente per “confermare” il soggiorno o per sbloccare un presunto problema tecnico. La polizia ha avvertito che “le attività di hacking possono riguardare anche piattaforme molto conosciute”, un monito che invita a non abbassare la guardia nemmeno di fronte a comunicazioni che sembrano perfettamente verosimili. La rassicurazione relativa ai dati finanziari, quindi, non deve tradursi in un falso senso di sicurezza: sebbene i numeri delle carte di credito siano al sicuro nei server di Booking, l’utente potrebbe essere indotto a fornirli volontariamente ai truffatori, scambiandoli per richieste legittime legate al viaggio.

Le contromisure immediate e la gestione dei codici pin

La reazione di Booking all’incidente è stata, almeno formalmente, rapida. Dopo aver rilevato l’anomalia, la piattaforma ha provveduto a invalidare i PIN di sicurezza delle prenotazioni attive, generandone di nuovi per impedire che gli aggressori potessero prendere il controllo dei soggiorni già in calendario. Gli utenti che hanno effettuato una prenotazione recente farebbero quindi bene a verificare la propria casella di posta (inclusa la cartella dello spam) per accertarsi dell’arrivo di questa comunicazione ufficiale. Ricevere la mail di Booking non significa solo essere a conoscenza del problema, ma ottenere il nuovo codice necessario per gestire il proprio soggiorno senza intoppi. Al contempo, le forze dell’ordine suggeriscono di prestare la massima attenzione a qualsiasi contatto che arrivi nei prossimi giorni: se un messaggio (telefonata, SMS o chat) crea un senso di urgenza o chiede un pagamento che si discosta dalle condizioni originali della prenotazione, è molto probabile che si tratti di un tentativo di frode. L’azienda ha ribadito che non chiederà mai i dettagli delle carte di credito attraverso canali esterni al portale ufficiale, un’indicazione semplice ma spesso ignorata in situazioni di panico.