Il 12 aprile 2026 migliaia di utenti di Booking.com hanno ricevuto una notifica inattesa: una comunicazione dell’azienda li avvertiva che «terze parti non autorizzate potrebbero essere state in grado di accedere ad alcune informazioni di prenotazione associate alla vostra prenotazione». Non era una comunicazione promozionale; era la conferma ufficiale di una violazione dei dati su scala internazionale.
Cosa è stato sottratto
I tecnici hanno riscontrato accessi non autorizzati ad alcune informazioni usate per l’organizzazione dei soggiorni e le registrazioni sul sito: dati anagrafici degli utenti, indirizzi e contatti, ma anche dettagli delle prenotazioni e messaggi scambiati tra host e clienti. In risposta, Booking.com ha proceduto al reset forzato dei codici PIN delle prenotazioni coinvolte, generandone di nuovi per ogni cliente interessato. Un dettaglio rassicurante, ma circoscritto: nessuna informazione finanziaria o di pagamento è stata compromessa, e gli indirizzi di residenza dei clienti non sembrano essere stati violati, suggerendo che la violazione degli indirizzi si riferisca invece a quelli delle strutture ricettive.
La portata numerica dell’incidente rimane sconosciuta. Booking.com non ha fornito chiarimenti tecnici sull’accaduto, né specificato quanti utenti siano stati coinvolti; ha dichiarato soltanto che il problema è stato contenuto e che i clienti interessati sono stati informati.
Le truffe sono già in corso
La gravità dell’incidente non risiede tanto nei dati direttamente sottratti quanto nell’uso che ne viene fatto. Un utente che aveva pubblicato la notifica su Reddit ha riferito a TechCrunch di aver ricevuto, due settimane prima della comunicazione ufficiale, un messaggio di phishing via WhatsApp contenente dettagli reali sulla prenotazione e informazioni personali: il che suggerisce che i criminali stessero sfruttando le informazioni rubate prima ancora che l’azienda ne desse notizia ai clienti. Tra i casi documentati, l’Australian Broadcasting Corporation ha riportato quello di un utente contattato a dicembre da un falso agente di Booking.com, intenzionato a sottrarre i dati della carta di credito.
Il meccanismo è rodato: nomi, email, numeri di telefono e dettagli delle prenotazioni, combinati, permettono di costruire comunicazioni credibili e mirate. L’assenza di dati di pagamento riduce il rischio di frodi immediate sui conti; non elimina però quello di ingegneria sociale e furto d’identità a medio termine.
Un precedente “ormai strutturale”
L’incidente del 12 aprile non si colloca nel vuoto. Nel 2021 le autorità olandesi per la protezione dei dati avevano già comminato a Booking.com una multa di 475.000 euro per una violazione analoga, che aveva esposto i dati personali di oltre 4.000 utenti. Nel 2023 la società di sicurezza SecureWorks aveva documentato come gruppi criminali — tra cui quello tracciato da Microsoft come Storm-1865 — prendessero di mira gli hotel partner di Booking.com con tecniche di social engineering e malware per il furto delle credenziali, una campagna attiva con volumi crescenti almeno dall’inizio di quell’anno. Su forum e marketplace del crimine informatico, le credenziali di account Booking.com di hotel partner venivano e vengono tuttora negoziate individualmente o in blocco, con prezzi che variano in funzione della freschezza dei dati, della geolocalizzazione e del numero di prenotazioni gestite dall’account.
La violazione non rappresenta dunque un caso isolato, bensì il sintomo di una vulnerabilità sistemica: le società di sicurezza Bridewell e Sekoia hanno documentato a lungo come gli aggressori compromettano le credenziali dei partner alberghieri attraverso infostealer malware, per poi attingere ai database delle prenotazioni e costruire esche di phishing credibili.
L’opacità dell’azienda
Booking.com ha dichiarato che l’indagine è in corso e che le misure di sicurezza saranno ampliate, senza però fornire ulteriori dettagli sulla portata o sulla causa della violazione. Questa opacità complica la valutazione individuale del rischio e solleva interrogativi sulla conformità al GDPR e alla Privacy Act australiana, entrambi i quali impongono una comunicazione tempestiva e trasparente delle violazioni che coinvolgano dati personali. La società con sede ad Amsterdam, che conta oltre 30 milioni di strutture ricettive in catalogo, non ha spiegato se l’accesso sia avvenuto attraverso una compromissione diretta dei propri sistemi, attraverso credenziali di partner alberghieri rubate, o attraverso un attacco di credential stuffing su larga scala.
Cosa fare adesso
Booking.com ha precisato che non chiederà mai i dati della carta di credito tramite email, telefono, WhatsApp o SMS, né richiederà bonifici bancari diversi da quelli indicati nella conferma di prenotazione. Per tutti gli utenti, indipendentemente dal fatto di aver ricevuto la notifica, l’attivazione dell’autenticazione a due fattori sull’account Booking.com rimane la contromisura più efficace; qualsiasi messaggio che faccia riferimento a una prenotazione e solleciti un pagamento o l’inserimento di dati bancari va considerato fraudolento per definizione, a prescindere dalla credibilità apparente del mittente.
The Flying Guru
Vuoi capire subito il punto centrale di questo articolo?
