Phishing sulle prenotazioni d'albergo: falso cashback e conti TWINT nel mirino

Il 20 ottobre 2026 l'Ufficio federale della cibersicurezza (UFCS) ha descritto nella sua rassegna settimanale una nuova variante di phishing legata alle prenotazioni d'albergo. Gli ospiti ricevono un'email che sembra arrivare dall'hotel in cui hanno soggiornato o stanno per soggiornare, con nome, data e dettagli corretti della prenotazione. Il messaggio promette un rimborso, ma lo scopo è ottenere l'accesso all'e-banking e al conto TWINT della vittima.

Per una regione turistica come il Ticino il tema riguarda da vicino alberghi, case vacanza, B&B e chi gestisce le prenotazioni per loro. Il punto di partenza, infatti, non è l'ospite: è il sistema dell'hotel.

Come funziona la truffa

Secondo l'UFCS, nei casi attuali i truffatori hanno prima compromesso il sistema di prenotazione o la posta elettronica di un hotel. In questo modo hanno ottenuto i dati di ospiti passati e attuali. Poi li contattano a nome dell'hotel, da indirizzi internet molto simili a quello vero e con una copia quasi identica del sito ufficiale.

Il messaggio offre un presunto cashback del 7,5% sul prezzo già pagato. Sul sito falso l'ospite può «richiedere» il rimborso e scegliere di riceverlo sul proprio conto TWINT. Dopo la scelta della banca viene portato su una pagina di accesso contraffatta, dove inserisce le credenziali dell'e-banking. Mentre la vittima è trattenuta nella procedura di rimborso, i truffatori usano quei dati per accedere al vero e-banking e le chiedono, con un pretesto, di confermare il secondo fattore o di comunicare un codice. L'obiettivo indicato dall'UFCS è trasferire il conto TWINT collegato su un altro numero di telefono; sono possibili anche pagamenti diretti dall'e-banking.

Lo schema non è nuovo: l'UFCS lo conosce da tempo nelle truffe sui siti di annunci, dove a essere presi di mira sono i venditori. Cambia lo scenario di partenza, l'obiettivo resta lo stesso.

Perché riguarda anche le PMI

Quello che rende credibile il messaggio sono i dati reali della prenotazione. Senza un sistema compromesso, la truffa perde gran parte della sua forza. Per l'hotel il danno è doppio: i propri ospiti vengono truffati a suo nome, e si tratta quasi sempre di una violazione della sicurezza dei dati personali con conseguenze legali. Lo stesso meccanismo può colpire qualsiasi PMI che conserva dati di clienti in un gestionale, in un negozio online o in una casella email condivisa.

Cosa fare se gestite una struttura ricettiva

1. Proteggere gli accessi. Attivare l'autenticazione a più fattori, o meglio le passkey, su posta elettronica, portali di prenotazione, channel manager e gestionale. Le differenze tra i metodi sono spiegate nel nostro articolo sui cinque livelli dell'UFCS.
2. Ridurre chi vede i dati. Account personali invece di account condivisi, disattivazione immediata degli accessi di ex collaboratori e fornitori, verifica periodica di chi può esportare i dati degli ospiti.
3. Aggiornare sito e sistemi. Sito web, plugin e software di prenotazione vanno mantenuti aggiornati: l'UFCS ha già segnalato quest'anno un aumento di siti svizzeri compromessi, in maggioranza WordPress.
4. Dire agli ospiti cosa non chiedete mai. Nelle conferme di prenotazione e sul sito, una frase chiara: l'hotel non chiede mai credenziali bancarie, codici SMS o la scansione di un codice QR per un rimborso. E un numero di telefono ufficiale ben visibile.
5. Tenere d'occhio i domini simili. La protezione tecnica del proprio dominio email (SPF, DKIM, DMARC) impedisce che altri inviino messaggi a nome del dominio vero, ma non ferma un dominio quasi identico registrato da terzi. Conviene sapere chi può verificare e far bloccare questi domini.
6. Preparare la risposta. Chi chiamare, chi cambia le password, chi avvisa gli ospiti: deciderlo prima evita di perdere ore preziose. Lo studio «PMI Cybersicurezza 2026» indica proprio la preparazione organizzativa come punto debole di molte PMI.

Se il sistema è già stato compromesso

Prima di tutto vanno bloccati gli accessi dei truffatori: cambio delle password, chiusura delle sessioni attive, verifica delle regole di inoltro della posta e contatto con il fornitore del sistema di prenotazione. Poi vanno avvisati gli ospiti, perché i messaggi falsi possono continuare ad arrivare anche dopo la pulizia.

La legge federale sulla protezione dei dati chiede misure di sicurezza adeguate (art. 8 nLPD). Se una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per le persone interessate, il titolare del trattamento deve notificarla il prima possibile all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), che mette a disposizione un portale di notifica, e informare le persone interessate se è necessario per la loro protezione (art. 24 nLPD). Dati di prenotazione usati per truffare gli ospiti sono un caso in cui il rischio va valutato con attenzione.

L'obbligo di segnalare un ciberattacco all'UFCS entro 24 ore vale per i gestori di infrastrutture critiche. Le altre aziende possono segnalare un incidente volontariamente con il modulo di segnalazione dell'UFCS. In caso di danno finanziario, l'UFCS raccomanda di sporgere denuncia alla polizia; su Suisse ePolice si trova il posto di polizia più vicino.

Cosa raccomanda l'UFCS agli ospiti

• Diffidare dei contatti non richiesti su rimborsi o verifiche urgenti della carta, anche quando il mittente conosce i dettagli della prenotazione.
• Non comunicare mai codici ricevuti via SMS.
• Non cliccare sui link dei messaggi sospetti e non inserire dati su pagine aperte da quei link.
• In caso di dubbio, accedere al proprio account di prenotazione dall'app o dal sito ufficiale, oppure chiamare l'hotel al numero cercato autonomamente.
• Per ricevere un rimborso non servono mai credenziali né la scansione di codici QR.
• Chi ha già inserito i dati della carta deve contattare subito la banca o l'emittente della carta per bloccarla.

Le stesse regole valgono per i collaboratori: un messaggio credibile perché contiene dati veri resta un messaggio da verificare. Un altro esempio recente è quello degli account WhatsApp rubati con falsi sondaggi.

Domande frequenti

Un ospite ci segnala un'email sospetta a nostro nome: cosa facciamo?

Confermate all'ospite che il messaggio non viene da voi e chiedetegli di non usare il link. Poi verificate subito accessi e regole di inoltro di posta e sistema di prenotazione, e avvisate gli altri ospiti con prenotazioni in corso.

Usiamo una piattaforma di prenotazione esterna: la responsabilità è sua?

Dipende da dove è avvenuta la compromissione. Spesso l'accesso passa dalle credenziali dell'hotel, per esempio una casella email o un account del portale. In ogni caso conviene coinvolgere subito il fornitore e chiarire chi è titolare del trattamento per i dati coinvolti.

Il DMARC basta a fermare queste email?

No. Il DMARC protegge il vostro dominio dall'uso abusivo, ed è comunque consigliato. I truffatori descritti dall'UFCS usano però domini simili ma diversi, che il DMARC del vostro dominio non copre.

Il nostro approccio

ElaraTeq Sagl sviluppa e gestisce siti, sistemi di prenotazione e caselle email per PMI e strutture ricettive in Ticino, con hosting in Svizzera, accessi protetti e aggiornamenti pianificati. Per una verifica della configurazione email, del sito o degli accessi potete contattarci.

Fonti

• UFCS, Settimana 42: Conti TWINT nel mirino, una nuova variante di phishing dietro le prenotazioni alberghiere, 20 ottobre 2026
• UFCS, Aumento dei siti web compromessi con CAPTCHA falsificati, 7 agosto 2026
• UFCS, modulo di segnalazione; obbligo di notifica dei ciberattacchi alle infrastrutture critiche
• IFPDT, portale per la notifica di violazioni della sicurezza dei dati
• Fedlex, Legge federale sulla protezione dei dati (LPD), RS 235.1, art. 8 e 24
• Suisse ePolice, ricerca dei posti di polizia