Un passaporto italiano scansionato vale 35 dollari nei mercati sommersi del dark web. Una carta d’identità fisica arriva a 1.800 dollari. Un pacchetto completo di dati anagrafici e documentali, il cosiddetto fullz, si acquista per 90 dollari. Questi numeri arrivano da un’analisi di NordVPN e NordStellar diffusa nell’aprile 2026 e fotografano l’esito commerciale di una vicenda che comincia in un luogo apparentemente innocuo: il bancone della reception di un albergo.
Un gruppo di criminali informatici, noto con lo pseudonimo mydocs, ha sottratto decine di migliaia di scansioni ad alta risoluzione di passaporti e carte d’identità dai sistemi di almeno dieci strutture ricettive italiane, tra Venezia, Trieste, Cervia e Ischia.
Il furto è avvenuto tra giugno e agosto 2025, durante la fase del check-in. Il Cert-AgID ha lanciato l’allerta proprio in agosto, quando ha reso noto che il numero delle scansioni compromesse aveva superato le 70mila unità, salite poi a quasi 90mila secondo aggiornamenti successivi. Il Garante per la privacy ha comunicato il 13 agosto che alcune strutture avevano già notificato la violazione e ha aperto un’istruttoria, tuttora in corso.
Questo episodio non è isolato. È il primo di tre vicende che restituiscono, se prese insieme, un quadro preciso. Il settore alberghiero non subisce attacchi occasionali, ma affronta un rischio sistemico che le singole strutture, comprese quelle indipendenti e di piccole dimensioni, faticano a gestire in autonomia.
Tre episodi, una sola tendenza
Il collettivo filorusso NoName057, alla vigilia dei Giochi di Milano-Cortina, nei primi giorni di febbraio 2026, ha lanciato una campagna di attacchi DDoS contro decine di siti collegati alle Olimpiadi invernali, colpendo enti locali, portali istituzionali e strutture ricettive del territorio. L’Hotel de la Poste di Cortina è finito tra i bersagli e ha subito un consistente aumento di traffico malevolo verso il proprio sito.
Il ministro degli Esteri Antonio Tajani ha confermato che gli attacchi sono stati intercettati e neutralizzati, parlando di “azioni di matrice russa”. La società di cybersicurezza Yarix, del gruppo Var Group, aveva già segnalato l’attività del collettivo nelle settimane precedenti, in linea con un report di Unit 42 dedicato alle minacce cyber contro i Giochi invernali.
Booking.com ha confermato il 14 aprile 2026 un attacco informatico che ha esposto dati personali di utenti e strutture affiliate: nomi, numeri di cellulare, indirizzi mail, informazioni sulle prenotazioni e i messaggi scambiati tra clienti e hotel.
L’azienda ha escluso l’accesso ai dati di pagamento e ha aggiornato i codici pin delle prenotazioni coinvolte, ma non ha reso noto il numero complessivo di persone interessate. Il Codacons ha definito l’episodio grave e ha annunciato la possibilità di azioni legali per conto dei clienti italiani, segnalando un’ondata di tentativi di phishing costruiti sui dati reali delle prenotazioni.
Perché gli hotel sono un bersaglio ideale
Le tre vicende hanno origini diverse, ma condividono la stessa struttura di rischio. Gli hotel, comprese le strutture indipendenti che non appartengono a grandi catene, concentrano dati personali di alto valore: documenti d’identità, recapiti, estremi di pagamento, abitudini di soggiorno.
Trattano questi dati su un’infrastruttura frammentata che collega il gestionale, i sistemi delle agenzie di viaggio online, il channel manager (il software che sincronizza in tempo reale disponibilità, prezzi e restrizioni delle camere o degli appartamenti su tutte le agenzie di viaggio online come Booking.com e Airbnb), la posta elettronica, i terminali di pagamento e una rete di fornitori esterni che custodiscono parte di questi archivi in cloud. Ogni collegamento si profila come una porta d’accesso potenziale.
Il fattore umano aggrava ulteriormente il quadro, sfruttato in modo sistematico dai criminali. Il personale di reception lavora sotto pressione operativa, spesso con organici ridotti nei periodi di alta stagione, e riceve ogni giorno richieste legittime legate a prenotazioni, cancellazioni e pagamenti.
Un messaggio che simula una richiesta urgente di conferma trova quindi terreno favorevole, come dimostrano le campagne di spear phishing costruite sui dati reali sottratti a Booking.com. Il danno reputazionale, infine, colpisce un settore fondato sulla fiducia del cliente e sulle recensioni online, e rende ogni incidente più costoso di quanto suggerisca il solo valore economico dei dati sottratti.
Notifica e responsabilità: cosa impone davvero la legge
Gli obblighi normativi per una struttura alberghiera si attivano su due piani distinti quando i dati compromessi sono documenti d’identità. Il primo è quello classico del data breach. L’articolo 33 del GDPR impone la notifica al Garante entro 72 ore dalla scoperta della violazione, salvo che il rischio per gli interessati risulti improbabile.
L’articolo 34 impone di informare direttamente gli ospiti coinvolti quando il rischio è elevato, come accade quasi sempre in presenza di scansioni di documenti. Le sanzioni previste dall’articolo 83 possono arrivare fino a 20 milioni di euro o al 4% del fatturato globale annuo per le violazioni più gravi dei principi di trattamento.
Il secondo piano riguarda la legittimità stessa della raccolta, ed è qui che il settore alberghiero italiano mostra la sua fragilità più strutturale. L’articolo 109 del Testo unico delle leggi di pubblica sicurezza impone ai gestori di identificare gli ospiti e comunicarne le generalità tramite il portale Alloggiati Web, ma quell’obbligo si esaurisce nella trasmissione dei dati. Non autorizza la conservazione delle copie dei documenti.
Il Garante ha ribadito il principio in modo esplicito con una nota di chiarimento del 29 aprile 2026: una volta generata la ricevuta di comunicazione, che va conservata per cinque anni, ogni scansione o fotocopia del documento deve essere cancellata o distrutta. La prassi diffusa di archiviare comunque quelle immagini nei gestionali, per comodità operativa più che per necessità giuridica, non trova alcuna base legale.
Una parte rilevante degli hotel coinvolti nei casi di furto di identità era quindi già in violazione del principio di minimizzazione dei dati prima ancora di subire l’attacco, un elemento che aggrava la posizione della struttura in sede di accertamento.
Una terza area riguarda poi la regolazione settoriale della cybersicurezza, dove il quadro è per certi versi rovesciato rispetto ad altri comparti critici. Il decreto legislativo 138 del 2024, che recepisce la direttiva NIS2, elenca settori come energia, trasporti, sanità, servizi idrici e digitali tra i soggetti obbligati a misure di sicurezza minime, notifica degli incidenti all’Agenzia per la cybersicurezza nazionale e responsabilità diretta degli organi di amministrazione.
Il turismo e l’ospitalità non compaiono negli allegati che definiscono il perimetro. Un singolo hotel può rientrarvi solo in via indiretta, se appartiene a un gruppo societario già soggetto alla norma oppure se viene individuato come fornitore rilevante da un soggetto NIS obbligato, per esempio nella filiera organizzativa di un grande evento. L’unico presidio normativo specifico resta quindi il GDPR per la maggior parte delle strutture italiane, pensato per la protezione dei dati personali e non per la resilienza dei sistemi informatici in quanto tale.
Il vero problema è la filiera
Il caso Booking chiarisce un punto che il caso dei documenti d’identità aveva già anticipato, senza che il collegamento fosse compreso fino in fondo. Gli aggressori, secondo le ricostruzioni circolate nei giorni successivi, non hanno colpito direttamente i sistemi centrali della piattaforma, ma hanno sfruttato malware installati nei dispositivi di alcune strutture partner per accedere ai portali di gestione delle prenotazioni.
Episodi simili avevano già coinvolto hotel convenzionati nel 2018 e nel 2024, quindi non è la prima volta che il meccanismo si ripete. Gianni Casadei, presidente di Federalberghi Ascom Cervia, ha riferito che il punto di compromissione, anche nel caso del furto di documenti d’identità, non sarebbero stati i server delle singole strutture, ma quelli dei fornitori software che ne gestiscono in cloud gli archivi digitali.
Entrambi i casi mandano lo stesso segnale. La sicurezza di un hotel dipende sempre meno dalle scelte interne alla struttura e sempre più dalla postura di sicurezza dei suoi fornitori tecnologici, dal gestionale al channel manager fino al provider cloud. Un albergo può investire correttamente nella protezione dei propri sistemi e restare comunque esposto attraverso un anello debole scelto da altri.
Questo è un problema di gestione del rischio di terze parti che il settore alberghiero condivide con altri comparti, dalla finanza alla sanità, ma che qui si scontra con una capacità contrattuale quasi nulla. Un piccolo hotel indipendente non ha la forza negoziale per imporre requisiti di sicurezza al proprio fornitore di gestionale, né le competenze interne per verificarli davvero.
Difendersi con budget limitati
Le raccomandazioni tecniche per il settore non differiscono in astratto da quelle di qualunque altro comparto esposto a phishing, ransomware e furto di credenziali. Il vincolo di risorse cambia, ed è proprio quello il punto da affrontare per primo. La formazione del personale contro il phishing e le richieste anomale resta la misura con il miglior rapporto tra costo e beneficio, perché non richiede investimenti tecnologici rilevanti e agisce sul punto di ingresso più sfruttato dagli attaccanti, come conferma la dinamica degli attacchi legati a Booking.
L’autenticazione a più fattori sugli accessi ai sistemi di prenotazione e ai pannelli amministrativi viene subito dopo: una misura a basso costo che riduce in modo drastico l’efficacia delle credenziali rubate. La segmentazione della rete, che separa il gestionale dagli altri sistemi aziendali, richiede un intervento tecnico più corposo, ma limita la propagazione di un’eventuale compromissione.
La gestione dei fornitori terzi, con una verifica anche minima delle misure di sicurezza adottate dal proprio provider di gestionale o di channel management, è oggi la voce più trascurata e, alla luce dei casi degli ultimi mesi, quella potenzialmente più determinante. Procedure di risposta agli incidenti anche semplici, infine, insieme a backup verificati e isolati dalla rete principale, permettono di contenere i danni quando la prevenzione non basta.
Un intervento a costo pressoché nullo si aggiunge a queste misure e riguarda direttamente la conformità normativa: eliminare dagli archivi le scansioni dei documenti d’identità non più necessarie. Non è solo un adempimento formale verso il Garante. È la misura che, da sola, avrebbe ridotto l’impatto del caso mydocs, perché senza quegli archivi non ci sarebbe stato nulla da sottrarre.
Una domanda aperta
Il settore alberghiero italiano cresce, attira investimenti record e alimenta una quota significativa del prodotto interno lordo nazionale. Cresce, insieme, l’attenzione dei criminali informatici, che applicano al comparto la stessa logica seguita altrove: puntano dove il rendimento dell’attacco è alto e la resistenza è bassa, spostandosi verso i settori meno maturi sul piano della sicurezza informatica, come segnalano anche i più recenti rapporti sugli incidenti in Italia.
La domanda che resta aperta riguarda la regolazione. Il GDPR offre uno strumento di responsabilizzazione e sanzione, ma non impone un livello minimo di sicurezza dei sistemi paragonabile a quello richiesto ai settori compresi nella NIS2. La difesa del comparto dipenderà quasi interamente dall’iniziativa volontaria delle singole strutture e dei loro fornitori, finché il turismo resterà fuori da quel perimetro. Gli ultimi dodici mesi suggeriscono che non è una base sufficiente.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Dario D’Elia
Source link
