Una nuova campagna di phishing sta colpendo chi ha prenotato un soggiorno in hotel. Il contatto arriva tramite WhatsApp e, a prima vista, sembra credibile: il messaggio contiene il nome della struttura, le date del viaggio e altri dettagli realmente collegati alla prenotazione. Proprio questa precisione rende la frode più pericolosa rispetto alle comuni comunicazioni inviate in massa.
L’obiettivo è convincere il destinatario a inserire i dati della carta di credito all’interno di un portale falso. Il pretesto riguarda una presunta verifica necessaria per mantenere valida la prenotazione. La richiesta viene accompagnata da una scadenza ravvicinata, spesso fissata entro 24 ore, così da spingere la vittima ad agire senza controllare l’origine del messaggio.
Secondo le rilevazioni dei ricercatori di Bitdefender, la campagna sarebbe attiva da marzo e avrebbe già raggiunto utenti in numerosi Paesi. Il sistema sfrutta informazioni sottratte alle strutture ricettive e costruisce comunicazioni personalizzate, capaci di superare con maggiore facilità la diffidenza dei viaggiatori.
I messaggi contengono dati reali sulle prenotazioni
La particolarità di questa truffa su WhatsApp riguarda il livello di precisione delle informazioni presenti nel testo. I criminali citano il nome del cliente, l’indirizzo email, il numero di telefono, il periodo del soggiorno, la struttura scelta e perfino l’identificativo della prenotazione.
Chi riceve una comunicazione simile potrebbe quindi pensare che il messaggio provenga davvero dall’hotel. I dati coincidono con quelli inseriti durante l’acquisto del soggiorno e non presentano gli errori tipici delle campagne di phishing tradizionali. Il tono appare formale, il contenuto sembra coerente e la richiesta viene collegata a un viaggio già programmato.
La campagna usa messaggi scritti in almeno sei lingue, tra cui inglese, francese, tedesco, spagnolo, polacco e rumeno. Le vittime individuate si trovano in più di dieci Paesi, come Regno Unito, Germania, Francia, Polonia, Romania, Paesi Bassi, Canada, Singapore, Portogallo e Colombia.
La presenza di destinatari distribuiti in aree così diverse mostra una struttura organizzata, capace di adattare i testi alla lingua del cliente e alle informazioni associate alla singola prenotazione. Non si tratta quindi di messaggi casuali inviati a migliaia di numeri nella speranza di trovare qualcuno che abbia appena prenotato un albergo.
Ogni comunicazione nasce da dati già disponibili. Il tentativo di frode arriva nel momento in cui il viaggio esiste davvero e il destinatario attende eventuali aggiornamenti dalla struttura. Questa coincidenza riduce il sospetto e aumenta la possibilità che il link venga aperto.
L’attacco parte dai sistemi utilizzati dagli hotel
Le informazioni presenti nei messaggi sarebbero state recuperate dopo l’accesso illecito ai sistemi delle strutture ricettive. Gli autori della campagna riescono a entrare negli account usati dagli hotel per amministrare prenotazioni, contatti dei clienti e comunicazioni con le piattaforme di intermediazione.
Tra le tecniche osservate ci sono false comunicazioni che sembrano provenire da servizi conosciuti come Booking.com. I dipendenti ricevono messaggi costruiti per imitare quelli autentici e vengono indirizzati verso pagine create per sottrarre le credenziali di accesso.
Una volta ottenuti nome utente e password, i criminali possono consultare le prenotazioni registrate dalla struttura. Da quel momento hanno accesso a una quantità di informazioni sufficiente per creare messaggi estremamente convincenti. Il cliente vede dati corretti e associa la comunicazione all’hotel con cui ha già avuto un rapporto.
La frode segue quindi un percorso diviso in due fasi. La prima colpisce il personale della struttura, dal quale vengono sottratte le credenziali. La seconda prende di mira i viaggiatori, contattati attraverso WhatsApp con un messaggio personalizzato.
Il numero utilizzato per inviare la comunicazione non deve per forza corrispondere a quello ufficiale dell’albergo. La quantità di dettagli presenti nel testo può spostare l’attenzione su altri elementi e rendere meno evidente questa anomalia. Il destinatario tende a concentrarsi sulla possibile cancellazione della camera e sul poco tempo concesso per risolvere il problema.
La disponibilità di dati autentici trasforma così una normale richiesta sospetta in una comunicazione apparentemente affidabile. L’utente non riceve un generico avviso relativo a un viaggio inesistente, bensì un messaggio che richiama con precisione una prenotazione già confermata.
La falsa verifica punta ai dati della carta
Il testo informa il cliente che la prenotazione richiede una verifica tramite carta di credito. Senza questa procedura, il soggiorno potrebbe essere cancellato entro 24 ore. Il messaggio precisa spesso che non verrà addebitata alcuna somma e che l’operazione servirà soltanto per effettuare una autorizzazione temporanea.
La formulazione ha lo scopo di tranquillizzare la vittima. Il cliente può interpretare la richiesta come un normale controllo effettuato dalla struttura prima del soggiorno. La minaccia di perdere la prenotazione introduce però una forte pressione e riduce il tempo dedicato alle verifiche.
Il collegamento presente nella chat apre un portale che riproduce l’aspetto di un sito legittimo. Colori, loghi e struttura grafica possono ricordare quelli della piattaforma utilizzata per prenotare. All’interno della pagina viene richiesto di inserire il numero della carta, la data di scadenza, il codice CVV e il nome del titolare.
I dati non raggiungono l’hotel né il servizio attraverso il quale è stata effettuata la prenotazione. Le informazioni vengono inviate ai responsabili della frode, che possono usarle per acquisti e transazioni oppure rivenderle nel dark web.
Anche l’eventuale presenza di un codice di sicurezza inviato dalla banca deve essere considerata un segnale di pericolo. Una verifica che richiede l’inserimento di credenziali finanziarie su una pagina raggiunta da un messaggio WhatsApp non corrisponde alle normali procedure di conferma adottate dalle piattaforme turistiche.
La grafica professionale del sito falso non rappresenta una prova di autenticità. I portali contraffatti possono imitare con precisione servizi conosciuti e mostrare pagine compatibili con smartphone e computer. Il controllo dell’indirizzo web resta importante, ma la scelta più sicura consiste nel non aprire il collegamento ricevuto.
Le verifiche devono passare dai canali ufficiali
Una richiesta relativa alla prenotazione deve essere controllata attraverso il sito ufficiale dell’hotel oppure tramite la piattaforma usata per acquistare il soggiorno. L’utente può aprire direttamente l’applicazione o digitare l’indirizzo del servizio nel browser, senza utilizzare il link presente nel messaggio.
Anche una telefonata alla struttura può chiarire rapidamente la situazione. Il numero deve essere recuperato dal sito ufficiale dell’albergo o dalla conferma ricevuta al momento della prenotazione. Non è consigliabile usare eventuali recapiti scritti nella comunicazione sospetta, poiché potrebbero appartenere agli stessi truffatori.
Gli hotel non chiedono ai clienti di confermare una camera attraverso l’inserimento dei dati della carta su un portale inviato tramite chat. Quando una prenotazione presenta un problema, l’avviso compare di solito nell’area personale del servizio o viene comunicato attraverso i canali ufficiali già utilizzati durante l’acquisto.
Il messaggio fraudolento può essere segnalato a WhatsApp, mentre il numero del mittente può essere bloccato. La segnalazione può essere inviata anche alle autorità competenti, soprattutto quando il destinatario ha già inserito dati personali o finanziari.
Chi ha compilato il modulo deve contattare subito la banca o l’emittente della carta, spiegare l’accaduto e richiedere il blocco dello strumento di pagamento. È utile controllare i movimenti recenti e prestare attenzione a eventuali transazioni di piccolo importo, che potrebbero servire per verificare se la carta è attiva.
Questa campagna dimostra quanto i dati reali possano rendere più credibile un tentativo di phishing. Nome, date e numero della prenotazione non garantiscono che il mittente sia autentico. La conferma deve sempre avvenire fuori dalla chat, attraverso un canale conosciuto e raggiunto in modo diretto.
