Falsi messaggi di «Booking.com» che rubano l'account della struttura e truffano i tuoi ospiti: come riconoscerli e cosa fare (2026)

Aggiornata: 9 novembre 2026

Da tempo circolano email che sembrano di Booking.com o di un ospite e che cercano di entrare nell'account della tua struttura. Con quell'accesso, i truffatori scrivono ai tuoi ospiti con i dati reali della prenotazione e chiedono di pagare con carta tramite un link. Ecco cosa dicono Microsoft, Booking.com, Airbnb e le autorità (fonti in fondo). Non è una consulenza legale: per un caso concreto, rivolgiti alla piattaforma, alla tua banca o alla polizia.

Come funziona la truffa

Microsoft ha descritto una campagna contro le strutture dell'ospitalità, anche in Europa, iniziata a dicembre 2024 e ancora attiva a febbraio 2025.

Arriva un'email che sembra di Booking.com: una recensione negativa, la richiesta di un possibile ospite, un'«opportunità di promozione» o una «verifica dell'account».
Il link (o un PDF con il link) porta a una pagina falsa con un «captcha». Ti chiede di premere alcuni tasti per aprire la finestra «Esegui» di Windows e incollare qualcosa che la pagina ha già copiato: così si installa un programma che ruba password e dati finanziari.
Con le tue credenziali entrano nell'extranet e scrivono ai tuoi ospiti nella chat della piattaforma, con nome e date reali, chiedendo di «pagare di nuovo» o «confermare la carta» tramite un link, spesso con fretta («entro 24 ore o si cancella»).

Segnali d'allarme

Fretta o minacce: «verifica oggi o l'account sarà sospeso», «rispondi subito a questa recensione».
Ti chiedono di accedere, scaricare un file o aprire un link che non aspettavi, via email, SMS o WhatsApp.
Un «captcha» che ti chiede di premere tasti o incollare qualcosa: nessun captcha vero lo fa.
Indirizzi o domini simili ma non uguali, ed errori di ortografia.
Booking.com dice che i suoi operatori chiedono solo l'ID della struttura, mai la password né un numero di carta.

Cosa fare prima che succeda

Attiva l'autenticazione a due fattori su Booking.com, Airbnb e sulla tua email: anche se rubano la password, serve il codice sul telefono.
Accedi sempre digitando tu l'indirizzo della piattaforma o dalla sua app, mai da un link in un'email.
Non eseguire mai nulla che ti chieda un «captcha» e non incollare comandi nel computer.
Usa password diverse per extranet ed email, e dai a ogni persona del team il proprio accesso.
Spiega agli ospiti nella conferma come incassi davvero (per esempio «si paga in struttura») e che non chiederai mai la carta tramite un link.

Se è già successo

Cambia le password dell'extranet e dell'email da un dispositivo pulito e attiva l'autenticazione a due fattori.
Avvisa la piattaforma dai canali ufficiali: su Booking.com, da «Contact Booking.com», che porta al modulo per i problemi di sicurezza dei partner.
Avvisa gli ospiti con prenotazioni vicine di ignorare qualsiasi richiesta di pagamento tramite link; Booking.com ricorda ai viaggiatori che non chiede mai i dati della carta via email, telefono, SMS o WhatsApp.
Se qualcuno ha pagato, deve chiamare la banca per bloccare la carta.
Conserva screenshot, email e link: serviranno per la piattaforma e per la denuncia.
Fai controllare il computer da un tecnico se hai eseguito qualcosa.

Dove chiedere aiuto e denunciare

Italia: la Polizia Postale riceve le segnalazioni tramite il «Commissariato di P.S. online».
Spagna: il 017 di INCIBE è gratuito e riservato, dalle 8:00 alle 23:00 tutti i giorni, anche per le imprese; dà consigli ma non raccoglie denunce.
Portogallo: denuncia alla polizia. Per gli incidenti informatici esiste anche il Centro Nazionale di Cybersicurezza portoghese (CNCS).
Grecia: la Direzione per il contrasto al crimine informatico della polizia risponde al 11188 e a ccu@cybercrimeunit.gov.gr; informazioni su cyberalert.gr.

Come aiuta iQuota

Con iQuota il pagamento avviene sempre in struttura e non si chiedono mai i dati della carta via messaggio. Le IA ricevono i tuoi dati dalla tua scheda, non dalle email. Non sostituisce la sicurezza dei tuoi account sulle piattaforme, ma è un canale in più senza pagamenti tramite link.

Vuoi una pagina ufficiale di prenotazione che l'IA possa leggere e un connettore con i tuoi prezzi reali, senza commissioni? Le prime 30 strutture entrano gratis fino al 30 giugno 2027.

Scopri il programma Founding Hotels (in inglese)

Domande frequenti

Booking.com può chiedermi la password al telefono?

No. Secondo Booking.com, i suoi operatori chiedono solo l'ID della struttura e mai la password né il numero di carta.

Un ospite ha pagato tramite un link falso: cosa gli dico?

Di chiamare subito la banca, avvisare la piattaforma dal canale ufficiale e conservare le prove per la denuncia.

Devo segnalare anche se non ho perso soldi?

Conviene: avvisa la piattaforma e la Polizia Postale e conserva le prove.

Fonti

Altre guide per hotel

Altre guide per hotel →

Español · English · Português · Ελληνικά