UE, indagine DSA su Booking.com per annunci falsi e phishing

Il 21 ottobre 2026 la Commissione europea ha aperto un procedimento formale contro Booking.com ai sensi del Digital Services Act (Regolamento UE 2022/2065). Il procedimento segue un’indagine preliminare e deve stabilire se la piattaforma, classificata come piattaforma online di dimensioni molto grandi (oltre 45 milioni di utenti nell’Unione), abbia valutato e attenuato in modo adeguato i rischi di frode che passano dal suo servizio. Booking.com ha dichiarato di collaborare pienamente con la Commissione.

Per chi si occupa di sicurezza la notizia interessa per un motivo preciso: al centro c’è una catena di attacco nota da anni, che parte dalle strutture ricettive e arriva al portafoglio dei clienti sfruttando dati di prenotazione autentici.

I tre filoni dell’indagine

Le tre testate concordano sul perimetro del procedimento:

• annunci fraudolenti e non conformi: inserzioni pubblicate da chi si spaccia per proprietario di un immobile che non gli appartiene, e alloggi che non rispettano le regole;
• phishing, smishing e ingegneria sociale: la Commissione esaminerà come Booking.com condivide i dati di prenotazioni e ospiti con le strutture, quali garanzie impediscono che vengano usati per chiedere pagamenti fraudolenti e come è progettato il servizio di messaggistica della piattaforma, che può essere abusato per il phishing. Secondo The Register, la Commissione sospetta anche una protezione insufficiente dei dati di consumatori e operatori;
• trasparenza pubblicitaria: se gli annunci a pagamento e le strutture che pagano per salire nei risultati sono riconoscibili come tali.

In caso di violazione la sanzione può arrivare al 6% del fatturato mondiale annuo, con l’obbligo di misure correttive. La Commissione ricorda che l’apertura del procedimento non anticipa l’esito e che può accettare impegni proposti dall’azienda.

La catena di attacco

Un portavoce della Commissione, citato da The Register, descrive lo schema: i truffatori prendono il controllo dell’account di un proprietario, ne sostituiscono i recapiti e scrivono agli ospiti chiedendo pagamenti aggiuntivi. Agenda Digitale sottolinea perché funziona: il messaggio riporta date del soggiorno e importi corretti, e chiede di inserire di nuovo i dati della carta con urgenza per non perdere la camera. Anche un utente attento ha pochi elementi per riconoscerlo.

Le campagne documentate negli anni, ricordate da Infosecurity Magazine, mostrano da dove arrivano gli accessi:

• 2023: Secureworks (oggi parte di Sophos) ha descritto l’uso dell’infostealer Vidar per rubare le credenziali Booking.com degli hotel partner, poi usate per inviare phishing ai clienti e sottrarre i dati di pagamento;
• marzo 2025: Microsoft ha segnalato una campagna ClickFix che imitava Booking.com, con email rivolte al settore dell’ospitalità in Nord America, Oceania, Asia ed Europa, per far installare malware che ruba credenziali;
• giugno 2026: TrendAI Research ha individuato email contro strutture partner in Giappone, travestite da reclami di ospiti e richieste di recensione, per far eseguire file malevoli al personale.

In termini MITRE ATT&CK la sequenza si legge così: phishing verso il personale delle strutture (T1566) ed esecuzione da parte dell’utente (T1204), furto delle credenziali salvate nel browser (T1555.003), uso di account validi sulla piattaforma (T1078) e infine impersonificazione verso gli ospiti (T1656). Il punto debole non è un singolo software, ma l’account della struttura: chi lo controlla vede dati sufficienti a costruire richieste credibili.

I numeri citati dalla Commissione

Secondo The Register, i funzionari hanno richiamato l’ammissione della stessa Booking.com, nel giugno 2024, di un aumento delle truffe di viaggio tra il 500 e il 900% nei 18 mesi precedenti. Solo nei Paesi Bassi, sempre secondo The Register (unica fonte su questo dato), nella prima parte del 2026 sono arrivate oltre 1.000 segnalazioni di frode, dieci volte l’anno precedente, con 82.000 euro di danni, e segnalazioni simili arrivano da quasi tutti gli Stati membri. Un funzionario ha definito «assolutamente insufficienti» le misure adottate finora. Per il futuro la Commissione si aspetta una valutazione dei rischi più accurata, che potrebbe includere il contrasto agli abusi del sistema di prenotazione, la rimozione rapida degli annunci segnalati, il controllo delle licenze e un diverso processo di ingresso dei proprietari.

Agenda Digitale inquadra il caso negli articoli 34 e 35 del DSA (valutazione e attenuazione dei rischi sistemici) e ricorda due precedenti sui marketplace: 200 milioni di euro di sanzione a Temu il 28 maggio 2026 e 550 milioni ad AliExpress il 20 luglio 2026.

Cosa significa per le aziende europee e italiane

Il DSA riguarda la piattaforma, ma il rischio operativo resta sulle strutture ricettive, molto numerose in Italia, e sulle aziende i cui dipendenti prenotano viaggi di lavoro. Per hotel, agriturismi e gestori di affitti brevi un account compromesso significa clienti truffati a proprio nome, danno di reputazione e possibili violazioni di dati personali degli ospiti da valutare ai sensi del GDPR.

Cosa fare subito

Strutture ricettive e gestori di immobili

• attiva l’autenticazione a più fattori sugli account delle piattaforme di prenotazione dove disponibile, con utenze nominative per il personale e revoca immediata per chi lascia l’azienda;
• usa per la gestione delle prenotazioni postazioni aggiornate, con antivirus/EDR attivo, senza salvare le password nel browser;
• tratta con prudenza allegati e link in reclami, richieste di recensione o documenti «da parte di un ospite», e forma il personale a non incollare comandi nella finestra Esegui o in PowerShell su richiesta di una pagina web (tecnica ClickFix);
• controlla periodicamente recapiti, coordinate di pagamento e accessi dell’account: una modifica non fatta da te è un segnale di compromissione;
• se sospetti un accesso abusivo, cambia le credenziali da una macchina pulita, avvisa la piattaforma e gli ospiti con prenotazioni attive.

Aziende e travel manager

• ricorda ai dipendenti che una richiesta di reinserire la carta arrivata via messaggio, SMS o chat va sempre verificata dall’app o dal sito ufficiale, mai dal link ricevuto;
• valuta carte aziendali virtuali o con limiti per i viaggi.

Monitoraggio tecnico

• cerca sugli endpoint processi PowerShell o mshta avviati da explorer.exe con comandi offuscati, e accessi ai database delle credenziali dei browser da processi insoliti.

Come aiuta ARXDOME

ARX Expose segnala i domini simili al tuo registrati da altri, gli account aziendali coinvolti in violazioni e la configurazione SPF e DMARC della posta, utili contro chi si spaccia per la tua azienda. ARX Shield tiene sotto controllo lo stato della protezione delle postazioni, e ARX Horizon permette di cercare gli indicatori di compromissione delle campagne note.

Ultimo aggiornamento: 22 ottobre 2026