Settimana 22: Un’ondata mirata di phishing a nome di piattaforme di prenotazione e hotel
L’UFCS sta registrando attualmente un aumento delle segnalazioni di messaggi WhatsApp fraudolenti concernenti prenotazioni alberghiere. I malintenzionati ricorrono a stratagemmi particolarmente subdoli e credibili per estorcere i dati delle carte di credito delle vittime.
I truffatori utilizzano le prenotazioni alberghiere esistenti per ottenere i dati della carta di credito. L’UFCS sta attualmente osservando due diversi approcci personalizzati. Sebbene si differenzino per la procedura specifica e il pretesto scelto, l’obiettivo generale è identico.
Variante 1: il trucco del rimborso
Nella prima variante, le vittime ricevono un messaggio WhatsApp non sollecitato che sembra provenire dal servizio clienti di Booking.com o direttamente dall’hotel prenotato. L’aspetto pericoloso di questa campagna è l’elevata credibilità dei messaggi, in quanto i criminali in questi casi fanno riferimento a prenotazioni reali e passate e conoscono le date corrette del soggiorno, nonché il nome dell’hotel e i nomi degli ospiti. Le vittime sono indotte a credere che ci sia stato un errore nella prenotazione e che ora abbiano diritto a un rimborso («cashback» o «rimborso»). Per ricevere il denaro, i destinatari devono cliccare su un link, che porta prima a un sito web di phishing dall’aspetto ingannevolmente credibile a nome di Twint e poi a un’altra pagina di phishing di una banca, dove la vittima viene indotta a inserire i dati della propria carta di credito.
Il fatto che gli autori dispongano di informazioni così precise e accurate sui precedenti soggiorni in hotel è dovuto a una fuga di dati («data leak») afferente a Booking.com lo scorso aprile 2026. I criminali avevano così ottenuto accesso a informazioni sensibili, che ora utilizzano per instaurare fiducia attraverso messaggi personalizzati.
Variante 2: hackeraggio di account tramite sistemi alberghieri violati
Nella seconda variante, già passata agli annali, i criminali cercano di ottenere i dati di accesso al sistema di prenotazione di un hotel utilizzando il phishing o il malware. Così facendo guadagnano un accesso diretto agli account degli utenti nei sistemi di prenotazione («account takeover») e possono prendere di mira le prenotazioni aperte o future. I clienti vengono poi spesso contattati direttamente tramite il sistema di messaggistica ufficiale della piattaforma o, in aggiunta, tramite e-mail o WhatsApp. Gli autori mettono sotto pressione le vittime affermando che la prenotazione verrà cancellata se i dati della carta di credito non vengono verificati immediatamente tramite un link allegato o se non viene effettuato un presunto pagamento anticipato.
Raccomandazioni
Indipendentemente dal fatto che si tratti di un presunto rimborso o della conferma di una prenotazione in corso, in entrambi i casi i destinatari sono invitati a cliccare su un link fornito per completare il processo. Questo link conduce a un sito web di phishing ingannevolmente credibile, dove le vittime vengono indotte a inserire i dati della carta di credito.
- Siate estremamente diffidenti se venite contattati spontaneamente in merito a rimborsi o verifiche urgenti della carta di credito, anche se i mittenti conoscono i dettagli esatti della vostra prenotazione.
- Non cliccate in nessun caso sui link contenuti in tali messaggi e non inserite mai i dati della vostra carta di credito o i dati bancari nelle pagine collegate.
- Se non siete sicuri della legittimità di un messaggio, accedete al vostro account di prenotazione direttamente tramite l’app o il sito web ufficiale (senza utilizzare i link presenti nel messaggio) o chiamate l’hotel in questione utilizzando il numero di telefono ufficiale e ricercato autonomamente.
- Non è mai necessario inserire i dati di accesso o scansionare codici QR per ricevere i rimborsi.
- Se avete già inserito i dati della carta su un sito di questo tipo, contattate immediatamente il vostro istituto finanziario o la società di carte di credito per far bloccare la carta interessata.
- Se avete subìto un danno finanziario, l’UFCS vi consiglia di sporgere denuncia presso la polizia locale. Potete trovare la stazione di polizia più vicina a voi tramite il sito Suisse ePolice.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria: