Booking e l’attacco hacker: quali conseguenze per gli utenti dopo il furto dei dati

22/04/2026 ECONOMIA Preferisci Informazione.News su Google

Redazione Economia   -   ** non c’è solo l’allarme, nella comunicazione piuttosto stringata che Booking.com ha iniziato a diramare ai propri clienti nelle ultime ore, quanto piuttosto la consapevolezza – per gli esperti del settore – che i rischi legati al phishing e alle truffe aggravate siano destinati a durare ben oltre la scoperta della violazione. L’azienda con sede ad Amsterdam, leader indiscussa nel settore delle prenotazioni online, ha confermato che “terze parti non autorizzate” hanno avuto accesso a un pacchetto di informazioni sensibili; tra queste, e questo è il dato che più preoccupa chi si occupa di sicurezza informatica, figurano dettagli specifici delle prenotazioni, nomi e cognomi, indirizzi fisici, numeri di telefono e indirizzi email. La piattaforma, nel tentativo di arginare l’emergenza, ha escluso al momento il furto dei dati finanziari – rassicurazione non banale, visto che solitamente sono quelli il bersaglio primario – ma ha comunque proceduto al reset forzato dei PIN associati ai soggiorni in essere per impedire modifiche o cancellazioni da parte dei malintenzionati.

L’inganno della credibilità: come i cybercriminali sfruttano le informazioni rubate

Ciò che rende questo attacco particolarmente insidioso, e lo differenzia magari da altre fughe di dati di massa, è l’uso che verrà quasi certamente fatto delle informazioni trafugate. Gli esperti parlano di “spear phishing”, una tecnica avanzata in cui la frode viene cucita addosso alla vittima: se un utente riceve un messaggio – via email, SMS o, come già segnalato da diverse fonti, via WhatsApp – che contiene il nome esatto della struttura che ha prenotato, le date del check-in e magari l’importo del soggiorno, è molto più probabile che abbassi la guardia. Proprio in questi giorni, a livello internazionale, sono emersi i primi racconti di viaggiatori contattati da falsi operatori che, fingendosi il supporto dell’hotel, segnalavano un “finto problema” con il pagamento per spillare i dati della carta di credito; il meccanismo è subdolo perché sfrutta i canali ufficiali dell’assistenza o, peggio, le chat interne della stessa piattaforma, rendendo quasi impossibile distinguere il vero dal falso a un primo sguardo.

Un sistema fragile: la vulnerabilità degli hotel partner

Sebbene l’indagine sia ancora in corso per determinare l’origine esatta della breccia, gli analisti puntano il dito verso un anello debole strutturale di questo tipo di ecosistema digitale: gli hotel partner. Non è detto, infatti, che gli hacker abbiano forzato direttamente le barricate dei server centrali di Booking; è statisticamente più probabile – e lo dimostrano attacchi analoghi avvenuti nel 2018 e nel 2023 – che l’intrusione sia avvenuta sfruttando le vulnerabilità dei computer o dei software di gestione delle singole strutture ricettive. Una volta infettato il sistema dell’albergatore con un malware, i criminali ottengono le credenziali di accesso al portale di gestione e da lì possono pescare a piene mani nei dati degli ospiti in arrivo. Questa fragilità sistemica rappresenta un paradosso: più la piattaforma è grande e capillare, maggiore è il numero di “porte secondarie” potenzialmente lasciate aperte da chi, magari, non ha aggiornato un antivirus o ha cliccato su un link pericoloso nella propria posta elettronica di lavoro.

L’attesa per i danni collaterali e la posizione del Codacons

Per l’utente medio, colpito dall’avviso di Booking, la situazione si traduce in una condizione di attesa forzata: i danni economici diretti, come addebiti non autorizzati sulla carta, potrebbero non manifestarsi subito, ma la vera minaccia è rappresentata dalla persistenza di questi dati sui dark web. I criminali, che hanno già messo le mani su un’enorme mole di nominativi e numeri di telefono, potrebbero rivenderli a terze parti o utilizzarli per attacchi mirati anche a distanza di mesi, magari quando la vittima ha già rimosso l’allarme. In Italia, il Codacons ha già fatto sapere di monitorare la situazione, dichiarandosi pronto a valutare azioni legali e risarcitorie qualora i clienti italiani subissero frodi o danni patrimoniali dimostrabili a causa di questa falla. Nel frattempo, la piattaforma si trincera dietro la mancata divulgazione del numero esatto degli utenti coinvolti – una cifra che, secondo le stime della stampa estera, potrebbe aggirarsi nell’ordine delle centinaia di migliaia a livello globale – lasciando gli utenti in una sorta di limbo digitale, dove la certezza della violazione si scontra con l’incertezza delle sue reali proporzioni.