"Sono un esperto di viaggi, ma la truffa dell'host di Booking.com mi ha quasi colto in fallo"

Mentre il mio pollice si soffermava sul link, il ricercatore della BBC che si occupava di Rogue Traders , seduto accanto a me, mi ha detto: "Sono quasi certo che sia una truffa . Bloccate il numero e non cliccate sul link".

Ho fatto come mi era stato consigliato e ho provato un senso di sollievo per aver schivato un proiettile, seguito da un pizzico di imbarazzo per essere quasi caduto in una truffa di viaggio. Sarebbe stata una brutta figura, dato il mio titolo di lavoro e il fatto che mi trovavo a un evento di viaggio circondato da colleghi quando ho ricevuto il messaggio.

A mia discolpa, devo dire che è stato piuttosto convincente. Il messaggio WhatsApp è arrivato con un nome e una foto allegati subito dopo un po' di tira e molla con l'host sul sito di Booking.com. Il "responsabile delle relazioni con gli ospiti" mi ha indicato dove e quando sarei andato, e quando ho effettuato la prenotazione. La prenotazione sarebbe andata a buon fine, mi hanno assicurato, a patto che confermassi che i dati della mia carta non fossero stati rubati, cosa che il sistema di Booking.com aveva segnalato loro come possibilità.

Sei stato vittima di una truffa di viaggio? Ci piacerebbe molto saperlo. Scrivi a [email protected]

Un rapido clic sul link per confermare i miei dati e sarei partito per la vacanza come previsto, senza problemi, avevano promesso.

Ho fatto uno screenshot dei messaggi e ho bloccato l'account, ripetendo la procedura per l'"amministratore capo degli appartamenti" che in seguito ha contattato il suo collega.

In questo caso, la truffa è stata evitata, ma restano ancora molti interrogativi. Come hanno ottenuto i miei dati? Quanto avrebbero rubato se avessi cliccato sul link? Quanti altri sono stati presi di mira in questo modo?

La risposta alla prima domanda è arrivata diversi giorni dopo aver spiegato l'accaduto a Booking.com. Un rappresentante del servizio clienti si è scusato prima di dare la colpa della violazione della sicurezza all'host, affermando che il loro sito web doveva essere stato infettato da un malware, consentendo agli hacker di accedere alle mie informazioni.

Questo è un problema per siti web come Booking.com, che reindirizzano i clienti a siti web di terze parti. Questi siti sono spesso gestiti da proprietari di B&B o di case vacanze con una sola proprietà, che difficilmente dispongono delle stesse risorse di sicurezza di una grande agenzia di viaggi.

Un ulteriore potenziale problema di sicurezza è il fatto che per creare una pagina host su Booking.com ci vogliono meno di 15 minuti, senza dover mostrare un passaporto o un documento d'identità ufficiale.

Per quanto riguarda la seconda e la terza domanda, gli importi rubati e il numero di vittime sono significativi. La truffa è in corso da anni: l'organizzazione britannica Action Fraud ha ricevuto 532 segnalazioni da parte di privati, per una perdita totale di 370.000 sterline tra giugno 2023 e settembre 2024.

In totale, hanno perso più di 370.000 sterline. Potrebbero anche essere stati vittime di una violazione dei loro diritti in materia di dati. Diversi anni fa, Booking.com ha ricevuto una multa di 475.000 euro per non aver preso provvedimenti in seguito a una violazione del GDPR.

Anzi, il problema sembra peggiorare. Lo scorso giugno, Booking.com ha ammesso che le truffe perpetrate sulla piattaforma erano aumentate tra il 500 e il 900% nei 18 mesi precedenti.

Nel 2023 la dottoressa Leigh Jones, docente presso l'Università di Oxford , ha raccontato al Mirror di aver perso più di 1.000 sterline per mano di truffatori dopo aver prenotato diverse camere d'albergo per la sua famiglia prima del giorno delle sue nozze in Vietnam.

"È stata una truffa di phishing davvero impressionante. Dopo questo, chiuderò definitivamente con Booking.com. Perché non c'è nessun avviso sul loro sito web? Consiglierei a tutti di passare a un altro metodo per prenotare le vacanze", dichiarò al Mirror all'epoca.

All'inizio di quest'anno Which? ha scoperto che alcuni clienti di Booking.com erano stati contattati da truffatori tramite l'app ufficiale dell'azienda, rendendo molto più difficile distinguerli da un messaggio autentico proveniente da un host.

Non solo i clienti stanno perdendo soldi, ma i truffatori stanno anche creando seri grattacapi ai gestori delle strutture ricettive.

Balaram Thapa gestisce un hotel a Kathmandu, in Nepal. Di recente, uno dei suoi clienti è stato vittima di una truffa di phishing.

"Uno dei nostri ospiti ha prenotato una camera nel nostro hotel tramite Booking.com, ha ricevuto una conferma e in seguito un messaggio che sembrava provenire da noi, in cui gli veniva chiesto di riconfermare il pagamento tramite un link di terze parti. Sembrava del tutto legittimo, con il nome del nostro hotel e i dettagli della prenotazione inclusi", ha spiegato l'albergatore.

L'ospite ha pagato tramite il link falso e si è reso conto che si trattava di una truffa solo al suo arrivo.

"È stata una situazione frustrante sia per l'ospite che per il nostro team. Non solo hanno perso denaro, ma hanno anche perso la fiducia nel processo di prenotazione e in noi, nonostante non avessimo alcun ruolo nella truffa. Mi è diventato chiaro che i viaggiatori devono essere particolarmente cauti nei confronti dei messaggi che ricevono, anche se sembrano provenire da piattaforme di prenotazione ufficiali."

Balaram ha contattato Booking.com e gli è stato comunicato che l'account dell'hotel potrebbe essere stato compromesso. Il consiglio è stato di cambiare la password. "Non hanno offerto ulteriore assistenza o risarcimento", ha aggiunto il responsabile dell'ospitalità. Per aiutare il cliente sconvolto, Balaram ha offerto uno sconto del 50% sul soggiorno. "È stata una perdita per entrambe le parti, ma abbiamo fatto del nostro meglio per rimediare", ha dichiarato.

Sean Malloy è un avvocato americano che ha rappresentato in tribunale le vittime di truffe di phishing e ha offerto alcuni consigli a chi teme di essere scoperto.

"Ho avuto a che fare con numerosi casi di truffe di phishing che hanno causato perdite finanziarie o emotive. Quando piattaforme come Booking.com vengono falsificate, i consumatori vengono spesso colti di sorpresa, soprattutto perché la comunicazione può apparire così legittima", ha dichiarato al Mirror.

Per proteggersi, i viaggiatori non dovrebbero MAI CLICCARE sui link di pagamento inviati tramite email o SMS e verificare sempre prenotazioni e richieste tramite l'app o il sito stesso. Attivate l'autenticazione a due fattori quando possibile e controllate periodicamente i vostri account per individuare eventuali attacchi informatici.

Un portavoce di Booking.com ha dichiarato al Mirror: "Possiamo confermare che i sistemi di Booking.com non sono stati violati, ma siamo consapevoli che alcuni dei nostri partner e clienti sono stati colpiti da attacchi di phishing inviati da criminali professionisti. Le frodi online sono purtroppo una battaglia che molti settori si trovano ad affrontare e noi di Booking.com ci impegniamo ad affrontare questo problema a testa alta".

Abbiamo implementato diverse e robuste misure di sicurezza e investiamo costantemente in tecnologie avanzate, tra cui intelligenza artificiale e apprendimento automatico, per rilevare e bloccare la maggior parte delle minacce prima che possano avere un impatto. Una volta segnalata una segnalazione, i nostri team di sicurezza indagheranno immediatamente e collaboreranno con i partner per proteggere i loro account il più rapidamente possibile.

Il portavoce ha consigliato ai clienti preoccupati per i messaggi relativi al pagamento di "controllare attentamente i dettagli della politica di pagamento sulla conferma della prenotazione per assicurarsi che il messaggio sia legittimo. In caso di dubbi, è sempre meglio contattare il nostro servizio clienti o cliccare su "Segnala un problema" nella funzione chat. È importante sottolineare che non chiederemo mai a un cliente di condividere le informazioni di pagamento tramite e-mail, messaggi di chat, SMS o telefono. In caso di dubbi relativi ai pagamenti con carta di credito, il cliente è pregato di contattare la propria banca per ulteriore assistenza.

Come molte aziende che operano nel settore dell'e-commerce, noi e i nostri partner possiamo essere bersagli interessanti per i criminali informatici. Tuttavia, grazie alle nostre solide misure di sicurezza, considerando la nostra portata globale e i milioni di prenotazioni che gestiamo settimanalmente, gli incidenti reali sono rari. Investiamo costantemente in tecnologie avanzate, tra cui intelligenza artificiale e apprendimento automatico, per rilevare e bloccare la stragrande maggioranza delle minacce prima che possano avere un impatto. In caso di conferma di un furto dell'account di un partner, informiamo gli ospiti via e-mail, avvisandoli della possibilità di ricevere messaggi di phishing.

Prendiamo sul serio il processo di verifica degli annunci di alloggi. Sebbene i partner possano registrarsi in meno di 15 minuti, vengono poi sottoposti a molteplici controlli e verifiche durante la registrazione, dopo l'invio e prima che i loro annunci diventino prenotabili.