Truffe via Booking.com: il phishing che parte da una prenotazione legittima. Sta circolando un attacco sofisticato ai danni degli utenti di Booking.com, che unisce ingegneria sociale, phishing e compromissione di sistemi a monte. A seguito di verifiche con tecnici esperti e che hanno segnalato la vicenda, come nel caso dei riferimenti della Polizia Postale, l’Abbac, la rete nazionale extralberghiera italiana, ha inviato una nota a firma del presidente Agostino Ingenito all’AgCom, e alla piattaforma online di prenotazione Booking.com e alla Consob. Stando alla ricostruzione eseguita, vi sarebbero delle vulnerabilità del sistema di prenotazione della piattaforma anche perchè tutto inizierebbe da una prenotazione reale – commenta- L’utente riceve conferma, tutto sembra regolare. Ma pochi giorni dopo riceve un messaggio (via email o WhatsApp) che appare inviato dalla struttura o da Booking stessa. Il testo segnala “un errore nel pagamento” e invita a cliccare su un link per “verificare” la transazione. Il link punta a un sito clone, spesso registrato da poche ore. Layout simile, logo ufficiale. Ma è un falso. Chi inserisce i dati della carta viene derubato: la transazione va ai truffatori, non alla struttura. Il punto critico non è solo nella comunicazione fraudolenta, ma nel fatto che gli attaccanti hanno accesso a dati reali della prenotazione: – nome e cognome – date del soggiorno – struttura prenotata – telefono, email, indirizzo Come ci riescono? Due ipotesi tecniche (non esclusive): 1. Compromissione dei backoffice degli host Se un gestore clicca su un link malevolo, perde l’accesso al proprio pannello. I criminali entrano, consultano le prenotazioni e avviano campagne di spear-phishing credibili e mirate. 2. Attacchi alle API dei PMS (Property Management System) Nel settore hospitality, molti gestionali espongono API per integrare prenotazioni e dati. Alcune di queste API, se mal configurate o insufficientemente protette, possono essere attaccate. Sul dark web circolano strumenti per sfruttare token compromessi o endpoint non autenticati, consentendo l’accesso ai dati degli ospiti e alle prenotazioni per lanciare truffe automatizzate. Un campanello d’allarme concreto è che questi siti-truffa spesso rifiutano metodi di pagamento come PayPal, accettando solo carte di credito o debito. Un dettaglio che dovrebbe insospettire. Ma non si tratta di un semplice errore tra utente e host. È una vulnerabilità sistemica nella filiera digitale dell’ospitalità, dove ogni nodo (host, email, API, DNS) può diventare vettore di compromissione.
Truffe con il phishing da prenotazioni reali, l’Abbac invia nota all’Agcom, Consob e alla piattaforma
