Il tuo hotel è un bersaglio: come difendere extranet Booking, staff e gestionale dall'ondata di phishing 2026

Arriva una mail che sembra di Booking.com: segnala una recensione negativa o chiede un feedback urgente. 📧 Contiene i dati veri della tua struttura, quindi sembra autentica. Un dipendente clicca, inserisce le credenziali su una pagina che pare identica a quella ufficiale — e da quel momento i criminali hanno l'accesso al tuo extranet. È lo schema di un'ondata di truffe che nel 2026 ha colpito duramente il settore ricettivo.

La buona notizia è che quasi sempre il punto d'ingresso è umano e prevenibile: con qualche procedura e la formazione dello staff riduci drasticamente il rischio. Vediamo i dati e la checklist pratica. 👇

Cosa scoprirai in questo articolo:#

• Perché gli hotel sono un bersaglio scelto
• Come funziona l'attacco
• Non è un databreach di Booking
• La checklist per proteggere la struttura
• Takeaway pratico
• FAQ sul phishing per le strutture

---

Perché gli hotel sono un bersaglio scelto

I numeri dicono che non è sfortuna, è una scelta dei criminali. Secondo Check Point Research (giugno 2026), a maggio 2026 il settore ospitalità/viaggi/tempo libero ha subito in media 2.291 attacchi informatici a settimana per organizzazione, +24% su base annua — contro appena il +2% della media globale di tutti i settori. E il volume è più che raddoppiato in tre anni: +122% (da 1.032 attacchi settimanali a maggio 2023).

Il settore ricettivo è colpito in modo sproporzionato rispetto alla media, perché è un bersaglio ricco: gestisce dati di pagamento, comunica con molti ospiti e spesso ha difese informatiche più deboli di una grande azienda. Le micro-strutture — un B&B, un piccolo hotel a conduzione familiare — sono le più esposte proprio perché meno strutturate.

Come funziona l'attacco

Lo schema documentato da Microsoft Threat Intelligence (marzo 2025, campagna avviata a dicembre 2024 e ancora attiva nel 2026) riguarda il gruppo "Storm-1865", che impersona Booking.com colpendo le strutture ricettive. La tecnica chiamata "ClickFix" usa un finto CAPTCHA o una finta verifica che induce la vittima a eseguire comandi, installando malware che ruba le credenziali (infostealer e strumenti di controllo remoto).

Il punto chiave: è spear phishing, cioè phishing mirato. La mail contiene dati reali della tua struttura — nome, riferimenti a prenotazioni — quindi è difficilissima da riconoscere. Non è la classica truffa piena di errori: è costruita per ingannare anche un occhio attento. E il punto d'ingresso è quasi sempre una persona che clicca: per questo la formazione dello staff vale più di qualsiasi software.

Non è un databreach di Booking

Un chiarimento importante per non farsi prendere dal panico e per comunicare correttamente: Booking.com sostiene che i propri sistemi centrali non sono stati violati. Ciò che viene compromesso sono i singoli account partner — l'extranet della tua struttura — tramite phishing. Non è una fuga di dati dalla piattaforma, ma il furto delle tue credenziali attraverso l'inganno.

La distinzione conta perché indica dove intervenire: non puoi controllare i sistemi di Booking, ma puoi blindare l'accesso al tuo account e formare chi lo usa.

La checklist per proteggere la struttura

Provider tecnologici del settore (come Guestline, Mews e altri) hanno formato un'alleanza per condividere intelligence sulle minacce (Hotel Speak, aprile 2026), e le contromisure raccomandate sono alla portata di qualsiasi struttura:

1. Attiva l'autenticazione a più fattori (MFA), meglio con passkey. È la barriera singola più efficace: anche se rubano la password, senza il secondo fattore non entrano.
2. Credenziali individuali per ogni addetto. Niente login condivisi: un account per persona, con permessi in base al ruolo. Così sai chi accede a cosa e revochi subito chi lascia.
3. Salva nei preferiti la pagina di login ufficiale. Accedi sempre dal bookmark, mai da un link ricevuto via mail o dai risultati di ricerca.
4. Forma tutto lo staff, front desk incluso. Spiega che una mail può contenere dati veri ed essere comunque falsa, e che non si clicca mai su link di "verifica" o "recensione" ricevuti via mail.
5. Crea un canale di segnalazione interno. Chi ha un dubbio deve poter chiedere subito, senza timore, prima di cliccare.
6. Tieni aggiornati dispositivi e antivirus. Il malware ClickFix sfrutta l'esecuzione di comandi: sistemi aggiornati e attenzione riducono la superficie d'attacco.

Takeaway pratico — da mettere in pratica

Oggi verifica una cosa sola: sul tuo account extranet Booking è attiva l'autenticazione a più fattori e ogni addetto ha credenziali proprie? Se la risposta è no — o se usate un login condiviso senza secondo fattore — sei nella condizione più a rischio. Attiva subito l'MFA, assegna credenziali individuali e dedica 15 minuti a spiegare allo staff che una mail con i dati veri della struttura può comunque essere una truffa. In un anno in cui il settore subisce oltre 2.000 attacchi a settimana, la differenza tra chi viene colpito e chi no la fa quasi sempre una procedura semplice attivata in tempo.

---

In sintesi#

Nel 2026 il settore ospitalità/viaggi è un bersaglio scelto: 2.291 attacchi a settimana per organizzazione a maggio 2026, +122% in tre anni (Check Point Research, 2026). Lo schema, documentato da Microsoft Threat Intelligence, è una finta mail Booking.com (gruppo Storm-1865, tecnica ClickFix) che ruba le credenziali dell'extranet: spear phishing con dati reali, difficile da riconoscere. Non è un databreach di Booking, ma il furto del tuo account tramite inganno — quindi la difesa è tutta nelle tue mani. Le contromisure sono alla portata di ogni struttura: MFA con passkey, credenziali individuali per addetto, login solo dal bookmark ufficiale, formazione dello staff e un canale di segnalazione interno. Il punto d'ingresso è umano: la formazione vale più del software.

Vuoi mettere in sicurezza la presenza digitale della tua struttura senza complicazioni? Contatta MKDA Agency per una revisione delle procedure e della tua presenza online.

FAQ sul phishing per le strutture

Come faccio a riconoscere la mail falsa se contiene i dati veri del mio hotel? Difficilmente dal contenuto: è spear phishing costruito con dati reali (Microsoft, 2025). La regola pratica è un'altra: non cliccare mai link di "verifica", "recensione" o "feedback" ricevuti via mail, e accedere all'extranet solo dal bookmark ufficiale. Se una comunicazione sembra urgente, verificala entrando nell'account dal preferito, non dal link. ✅

L'MFA è davvero necessaria per una piccola struttura? Sì, è la difesa più efficace e proprio le micro-strutture sono le più esposte, spesso con un login condiviso e senza secondo fattore. Con l'MFA (meglio con passkey), anche se rubano la password non riescono ad accedere. È una misura gratuita o a basso costo che blocca la stragrande maggioranza degli attacchi. 💡

Se ho già subito un accesso non autorizzato, cosa faccio? Cambia immediatamente le credenziali dell'extranet da un dispositivo sicuro, attiva l'MFA, revoca gli accessi sospetti e verifica se sono partiti messaggi agli ospiti a tuo nome. Avvisa la piattaforma e conserva ogni evidenza. È utile anche informare gli ospiti recenti di non dare seguito a richieste di pagamento inattese: la truffa spesso prosegue contattando i clienti. 🚀