Hotel sotto attacco: gli hacker hanno bucato Booking, Octorate e Simple Booking. E nessuno aiuta gli albergatori

C’è un’immagine che racconta questa storia meglio di qualsiasi statistica. È il 12 ottobre 2026, poco distante da Piazza San Marco. Fuori dall’Hotel Antigo Trovatore, 25 camere, tre stelle, Calle delle Rasse, si forma una fila che non finisce. Turisti con i bagagli, arrivati da mezzo mondo, sicuri di aver prenotato una camera a 15 euro a notte su Booking.com. Alcuni hanno pagato anche 120 euro per tre notti. La conferma di prenotazione è arrivata via email. Il pagamento è andato a buon fine. Tutto regolare.

Tranne il fatto che le camere non esistono.

In quarantotto ore, tra il 6 e il 7 ottobre, degli hacker avevano manipolato le tariffe dell’hotel su Booking.com, abbassandole da 150-300 euro a cifre tra 15 e 50 euro, e generato quasi 3.000 prenotazioni false. Tutte confermate dalla piattaforma. Con ricevuta. Con comunicazione ufficiale Booking.

Tommaso Smerghetto, addetto alla reception, ha dichiarato ai giornali: “Ci siamo trovati letteralmente travolti dalla situazione. Siamo sotto stress, senza contare che abbiamo dovuto gestire una clientela giustamente molto innervosita e frustrata, specie quella arrivata da noi a mezzanotte.” Sulla risposta di Booking: “Booking, per ora, non ci sta dando alcun tipo di supporto.”

Il rimborso ai 3.000 turisti truffati? Voucher da spendere sulla piattaforma entro dodici mesi.

Non è un caso isolato. È una strage industriale che dura da mesi.

Il caso Venezia è visibile perché fisico. Tremila persone in fila fuori da un hotel sono difficili da ignorare. Ma dietro quella fila c’è qualcosa di molto più grande e molto più silenzioso: la più grave crisi di sicurezza informatica mai registrata nel settore alberghiero, distribuita su decine di milioni di ospiti in tutto il mondo e su migliaia di strutture che gestiscono le conseguenze da sole.

Nel 2026, tra gennaio e novembre, almeno diciassette tra le principali piattaforme tecnologiche del turismo mondiale sono state violate. Non tutte hanno lo stesso rilievo per il mercato italiano, ma alcune toccano direttamente le strutture che lavorano in Italia ogni giorno. La mappa è questa.

Fonti: comunicazione ufficiale Octorate OCTORATE20261030 (02/11/2026), Cybernews, The Register, heise.de, SecurityWeek, Il Gazzettino, Il Fatto Quotidiano, AGID/CERT-AGID, Salzburg24, TechRadar, SecurityAffairs, BTW Media. Elaborazione HotelManager.net, novembre 2026.

La voce degli albergatori romani: “Siamo soli. Non puoi parlare con nessuno al telefono.”

Quello che non si legge nelle comunicazioni ufficiali delle piattaforme lo si trova nei gruppi WhatsApp degli albergatori. HotelManager.net ha avuto accesso ai messaggi del Comitato Albergatori Romani delle ultime settimane, con il consenso degli interessati. Quello che emerge è un quadro di albergatori che gestiscono emergenze cyber in tempo reale, senza alcun supporto da parte delle piattaforme coinvolte, spesso scoprendo l’attacco non da una notifica ufficiale ma da un ospite spaventato.

Un albergatore racconta di aver scoperto il breach di Simple Booking non dall’email di avviso della piattaforma — arrivata, sepolta in casella, giorni prima — ma da un’ospite insospettita da un messaggio WhatsApp ricevuto. “Poi dico una cosa: così importante ma puoi mandare un’email????????????” scrive nel gruppo, i punti interrogativi a sostituire le parole che non trovava.

Eleonora, dell’Hotel Anfiteatro Flavio, spiega come si è organizzata in autonomia già da settimane, prima ancora che Octorate venisse violata: un template da inviare a tutte le prenotazioni ricevute, con l’avviso che potrebbero ricevere messaggi fraudolenti chiedendo di riconfermare la carta, e che in caso di dubbio devono contattare direttamente l’hotel. “Tantissimo lavoro in più”, commenta. Un collega risponde: “Fatto la stessa cosa. Cerchiamo di tamponare. Ma è difficile, tanto difficile.”

Nel pomeriggio del 1° novembre arriva il messaggio di chi usa Octorate: “Ora ci ha colpito anche noi questo phishing scam.” Pochi minuti dopo, due risposte: “Anche a me” e “Uso Octorate”. Poi il punto che brucia più di tutto: “Dobbiamo cambiarlo anche perché loro non si prendono la responsabilità e ti dicono di cambiare la password e non puoi parlare con nessuno al telefono.”

Non puoi parlare con nessuno al telefono.

Nel momento in cui il tuo hotel scopre che i dati dei tuoi ospiti sono stati rubati, non c’è nessuno con cui parlare. Solo email. Solo template. Solo una pagina FAQ sul sito della piattaforma.

Come funziona l’attacco?

Per capire perché questi attacchi non si fermano, bisogna capire che non esiste un unico meccanismo ma almeno tre varianti, documentate dai ricercatori di sicurezza informatica nel corso del 2026.

La prima e più diffusa è il phishing al personale dell’hotel. I criminali inviano un’email che sembra provenire da Booking.com, dal channel manager o da un potenziale ospite. Il link porta a una pagina falsa dove le credenziali di accesso all’extranet vengono rubate. Da quel momento i criminali hanno accesso all’account dell’hotel, ai dati di tutte le prenotazioni imminenti, e possono contattare gli ospiti usando i canali ufficiali della piattaforma. Il messaggio fraudolento che arriva all’ospite via WhatsApp o email contiene il suo nome, le date esatte del soggiorno, il nome dell’hotel, il numero di prenotazione. È quasi impossibile distinguerlo da una comunicazione legittima. Secondo Bitdefender, le campagne sfruttano richieste quotidiane plausibili — problemi con le prenotazioni, cancellazioni, richieste di fatture, domande sulle allergie — inviate durante l’alta stagione quando il personale è sotto pressione e il tempo di verifica si riduce.

La seconda variante è la vulnerabilità tecnica nelle interfacce tra sistemi. È il caso di HotelNetSolutions, dove una falla nell’interfaccia tra il software di prenotazione HotelControl e il PMS collegato ha permesso accessi non autorizzati per nove mesi senza che nessuno se ne accorgesse, esposta l’intera base dati di prenotazioni da gennaio a settembre 2026. È il caso di Octorate, dove una vulnerabilità PHP ha permesso l’installazione di una webshell sul server di produzione, attiva per oltre dieci ore nella notte tra il 29 e il 30 ottobre. È il caso di BWH Hotels, dove una vulnerabilità in un’applicazione web ha lasciato aperto l’accesso ai dati di prenotazione per sei mesi interi, da ottobre 2025 ad aprile 2026, senza essere rilevata.

La terza variante è l’attacco sistematizzato con AI. Il 23 giugno 2026, Cybernews ha documentato un caso che ha fatto notizia nel mondo della cybersecurity: un hacker russo aveva usato Claude, il modello AI di Anthropic, combinato con HexStrike AI, uno strumento open source per penetration testing, per automatizzare la violazione di quattro piattaforme di gestione alberghiera contemporaneamente. Il risultato: 2,1 milioni di indirizzi email, 6,4 milioni di prenotazioni e dati personali di ospiti di tutto il mondo, estratti in modo sistematico e lasciati su un server pubblico accessibile a chiunque avesse il link.

Il paradosso legale che nessuno spiega agli albergatori

C’è una dimensione di questa crisi che gli albergatori italiani stanno scoprendo nel momento peggiore: essere vittime di un attacco informatico non li esonera dagli obblighi previsti dal GDPR.

La comunicazione ufficiale di Octorate del 2 novembre 2026 è esplicita: gli hotel clienti, in qualità di Titolari del trattamento ai sensi dell’articolo 28 del GDPR, devono valutare la notifica al Garante per la protezione dei dati personali entro 72 ore dal momento in cui hanno avuto conoscenza della violazione. Quella notifica deve venire dall’hotel. Octorate è solo il responsabile del trattamento per conto dell’hotel. Se i dati degli ospiti vengono rubati dal sistema di Octorate, la notifica al Garante spetta all’hotel.

Stesso identico principio per Booking.com, per Simple Booking, per qualsiasi channel manager. I dati degli ospiti di una struttura sono responsabilità della struttura. Il canale attraverso cui sono stati rubati è irrilevante ai fini degli obblighi di notifica. L’albergatore è la prima linea giuridica del problema, anche quando non ha fatto niente di sbagliato.

Il Garante della Privacy italiano ha già aperto un fascicolo sul breach di aprile di Booking.com. L’Associazione Codici ha inviato una diffida formale. Il Movimento Difesa del Cittadino del Friuli Venezia Giulia ha invitato i clienti a rivolgersi alle associazioni di tutela. Più di 10.000 hotel europei, molti italiani attraverso Federalberghi, si sono già registrati su mybookingclaim.com per la class action contro Booking per le clausole anticoncorrenziali. La vicenda dei breach aggiunge un ulteriore fronte di contenzioso potenziale.

Le procedure legali, però, sono lente. Nel frattempo, ogni singolo albergatore colpito gestisce la crisi da solo.

Il danno che non si vede: la reputazione dell’hotel che paga per i crimini degli hacker

C’è un elemento di questa storia che non viene quasi mai raccontato ma che gli albergatori conoscono benissimo: quando un ospite viene truffato attraverso il sistema di messaggistica di Booking.com o tramite un messaggio WhatsApp che sembra provenire dall’hotel, non pensa “questa è una vulnerabilità della piattaforma.” Pensa “il mio hotel mi ha chiesto i dati della carta in modo sospetto.”

La recensione negativa che segue va sull’hotel, non su Booking.com.

Il cliente che annulla per paura e non torna mai più è una perdita dell’hotel, non di Booking.com.

Le ore che il personale della reception passa a gestire turisti arrabbiati, spaventati, senza un posto dove dormire come a Venezia, sono ore che l’hotel paga e che Booking.com non rimborsa.

Un dato di Today.it, dal suo dossier pubblicato ad agosto 2026, mette in prospettiva la dimensione del fenomeno italiano: gli attacchi alle reception degli alberghi italiani sono aumentati del 55% nell’ultimo anno. I documenti di identità degli ospiti rubati durante il check-in vengono venduti sul dark web tra 800 e 1.800 dollari ciascuno. In alta risoluzione. Con foto. Con tutti i dati biometrici che servono per fare una frode di identità completa.

E l’ospite che ha lasciato il passaporto alla reception non lo sa.

Cosa stanno facendo le piattaforme? E perché non basta?

Non tutte le piattaforme si sono comportate allo stesso modo. Vale la pena distinguere.

Octorate ha gestito l’incidente del 30 ottobre in modo relativamente trasparente rispetto agli standard del settore: notifica al CSIRT Italia entro i termini NIS2, ingaggio di YARIX per l’analisi forense, comunicazione scritta dettagliata agli hotel clienti con tutti i dati tecnici dell’incidente e le istruzioni operative per gli adempimenti GDPR. Ha fornito un riferimento interno all’incidente (OCTORATE20261030), ha preservato i log per l’analisi, ha dichiarato che fornirà la relazione forense finale entro il 1° dicembre. È il modo in cui si dovrebbe gestire un breach. Non elimina il danno, ma rispetta i clienti.

HotelNetSolutions ha pubblicato una pagina di sicurezza pubblica aggiornata, comunicando l’evoluzione dell’incidente e chiudendo la vulnerabilità il 19 settembre. Più di nove mesi dopo che i dati avevano cominciato a essere rubati, ma almeno con trasparenza tecnica.

Booking.com è all’altro estremo. Sette mesi dopo il breach di aprile 2026, non ha comunicato quante persone siano state colpite. Ha reso obbligatoria l’autenticazione a due fattori per i partner, ma i criminali la aggirano già da mesi con malware che ruba le sessioni attive. All’hotel di Venezia colpito a ottobre non ha fornito nessun supporto operativo nelle ore di crisi. Ai 3.000 turisti truffati ha offerto voucher.

In tutti i casi, la risposta operativa alle strutture colpite è invariabilmente la stessa: cambia la password, attiva il 2FA, forma il personale, monitora le sessioni attive. Nessun rimborso per il danno reputazionale. Nessun fondo di garanzia. Nessuna linea telefonica di emergenza.

Le 7 azioni concrete da fare questa settimana

Detto tutto questo, ci sono cose concrete che ogni hotel può fare adesso. Non eliminano il rischio — il rischio zero non esiste quando si usa tecnologia condivisa su larga scala. Ma lo riducono in modo significativo e riducono il danno nel caso in cui l’attacco avvenga comunque.

La prima è il template di avviso preventivo. Aggiungere alle conferme di prenotazione — e idealmente anche a un messaggio inviato tre giorni prima dell’arrivo — una nota chiara: “La nostra struttura non chiederà mai link per riconfermare dati di pagamento. In caso di messaggi sospetti via WhatsApp o email, contattate direttamente la reception.” Costa zero. Può salvare un ospite e proteggere la reputazione dell’hotel.

La seconda è l’autenticazione a due fattori su tutto. Non solo su Booking.com dove è obbligatoria. Su Expedia, Airbnb, il channel manager, l’email aziendale, il gestionale. Su tutto. Su ogni account che ha accesso a dati di prenotazione.

La terza è il controllo settimanale degli accessi attivi. Quasi tutte le piattaforme permettono di vedere da quali dispositivi e posizioni geografiche è stato effettuato l’accesso all’account. Cinque minuti a settimana. Un accesso da un indirizzo IP insolito o da un paese straniero è il segnale che qualcosa non va.

La quarta è un computer dedicato per l’extranet. Dove possibile, usare un dispositivo separato esclusivamente per accedere alle piattaforme OTA e al channel manager, senza uso promiscuo per email personali, social media o navigazione generica.

La quinta è la formazione del personale con una regola semplice e ripetuta: se arriva un’email che chiede di cliccare un link per inserire le credenziali, anche se sembra provenire da Booking, dal channel manager o da un ospite, non si clicca. Si va direttamente alla piattaforma digitando l’indirizzo nel browser. Sempre. La stanchezza da turno e la pressione dell’alta stagione sono le migliori alleate degli hacker.

La sesta, per chi usa Octorate e ha ricevuto la comunicazione del 2 novembre, è la notifica al Garante. Come indicato nel documento ufficiale, hai l’obbligo di valutare la notifica entro 72 ore dalla ricezione della comunicazione di Octorate. Se non l’hai ancora fatto, il sito del Garante è garanteprivacy.it. Registra comunque l’accaduto nel registro interno delle violazioni anche se decidi di non notificare.

La settima è chiedere al proprio fornitore tecnologico una risposta scritta su tre punti: quali dati dei tuoi ospiti gestisce, dove li conserva, e qual è il suo piano di risposta agli incidenti. Se non riesce a rispondere in modo chiaro e documentato, è il momento di valutare alternative.

FONTI

Comunicazione ufficiale Octorate S.r.l., riferimento OCTORATE20261030, versione 1.0, 2 novembre 2026. Notifica NIS al CSIRT Italia TJ5BEE37 del 01/11/2026. Il Gazzettino — “Stanze a 15 euro a Venezia, turisti in massa all’hotel Antigo Trovatore”, 12 ottobre 2026. Il Fatto Quotidiano — “Ci siamo trovati letteralmente travolti dalla situazione”, 12 ottobre 2026. Il Messaggero — “Venezia, stanze a 15 euro all’hotel Antigo Trovatore”, 12 ottobre 2026. Il Fatto Quotidiano — “Booking, attacco hacker, truffe phishing”, 7 agosto 2026. Cybernews — “Hackers siphon data from 5M hotel guests, feeding it live onto Telegram”, 16 aprile 2026. Cybernews — “Hacker employs Claude to breach booking firms, leaves millions of records publicly accessible”, 23 giugno 2026. TechRadar — “Millions of hotel goers may have been exposed”, 16 aprile 2026. The Register — “Italian hotels breached en masse since June”, agosto 2026. SecurityWeek — “BWH Hotels Says Hackers Had Access to Reservation Data for 6 Months”, 12 maggio 2026. Security Affairs — “Hackers accessed BWH Hotels reservation system for months”, 12 maggio 2026. AGID/CERT-AGID — advisory violazioni dati hotel italiani, estate 2026. heise.de — “Phishing waves: Cyberattacks on IT service providers for hotels”, 13 agosto 2026. heise.de — “Phishing attacks with real hotel booking data”, 25 settembre 2026. HotelNetSolutions — security notice ufficiale, aggiornata 7 ottobre 2026. Salzburg24 — “Datenleck im Tourismus: 97 Salzburger Hotelbetriebe von Hackerangriff betroffen”, 1 novembre 2026. CyberDaily — “Quest Apartment Hotels discloses third-party customer data breach”, 20 agosto 2026. Hotelogix — “Hotel Data Breach: Causes, Examples and Prevention Guide”, ottobre 2026. SHM Studio — “Data breach hotel: cloud mal configurato espone un milione di documenti”, 16 maggio 2026. BitMat — “Il phishing ha già la chiave della camera”, 11 settembre 2026. BitMat — “Gli hotel diventano una porta d’ingresso per i cybercriminali”, settembre 2026. Forniturealberghiereonline.it — “Truffe e attacchi informatici agli hotel”, 17 ottobre 2026. Today.it — dossier attacchi hacker hotel italiani, agosto 2026. Travel Distribution News — “AI Agents Enter the Travel Attack Surface”, giugno 2026. Moonlock — “Guest data stolen from Airbnb and Booking is used for phishing”, novembre 2025. Tourism Update — “Hackers exploit booking data in phishing scam”. Comitato Albergatori Romani — messaggi WhatsApp gruppo, 1-2 novembre 2026, pubblicati con consenso degli autori.