Il sito del tuo hotel è stato hackerato? Segnali, cosa fare e come chiedere a Google di togliere l'avviso

Aggiornata: 10 novembre 2026

Un avviso rosso di Google davanti al tuo sito, link strani nei risultati di ricerca o un motore di prenotazione che non funziona più: spesso è così che un hotel scopre che il suo sito è stato hackerato. E ogni giorno con l'avviso sono prenotazioni dirette perse. Questa guida riassume ciò che abbiamo potuto verificare il 10 novembre 2026 nella guida di Google, presso ACN e nel testo del GDPR, e indica chiaramente ciò che non abbiamo potuto confermare. Non consigliamo nessun servizio a pagamento.

La risposta breve

L'essenziale:

Controlla il rapporto «Problemi di sicurezza» di Search Console: lì Google indica se ha rilevato contenuti compromessi, malware o ingegneria sociale (phishing).
Pulisci il sito, chiudi la falla da cui sono entrati e solo dopo chiedi la revisione dallo stesso rapporto.
Google dice che una revisione può richiedere da pochi giorni a qualche settimana; se il sito è pulito, gli avvisi del browser e dei risultati vengono rimossi entro 72 ore.
In Italia, la guida di ACN consente anche alle imprese non obbligate di segnalare un incidente a CSIRT Italia in modo volontario.
Se i dati dei clienti potrebbero essere stati esposti, il GDPR (art. 33) fissa 72 ore per notificare l'autorità di protezione dei dati.

Segnali che il sito è stato hackerato

Ciò che descrive Google:

Un avviso a tutta pagina nel browser prima di entrare nel sito, oppure un'etichetta di avviso accanto al sito nei risultati di Google. Google li descrive nella guida del rapporto sulla sicurezza.
Pagine che non hai creato (per esempio di prodotti o scommesse) che compaiono su Google con il tuo dominio: Google li chiama contenuti compromessi.
Download che Chrome segnala come pericolosi, o moduli che chiedono dati che tu non chiedi mai (ingegneria sociale).
Segnali pratici, consiglio nostro: utenti amministratori che non riconosci, modifiche alla pagina di prenotazione o al pulsante di pagamento, oppure ospiti che dicono che il sito li reindirizza altrove.

Cosa fare nelle prime ore

Passi pratici:

Cambia tutte le password: gestore dei contenuti, hosting, FTP, database, posta e Search Console. Usa password forti e diverse, come raccomanda Google.
Controlla gli utenti del gestore dei contenuti e dell'hosting ed elimina quelli che non riconosci.
Aggiorna il gestore dei contenuti (per esempio WordPress), il tema e i plugin, ed elimina quelli che non usi: Google cita il software non aggiornato e i componenti di terzi come vie d'ingresso.
Ripristina un backup pulito, precedente all'attacco, e poi aggiorna di nuovo tutto: se ripristini senza correggere la falla, possono rientrare.
Controlla il motore di prenotazione: che i pulsanti «Prenota» portino al tuo motore reale e che la pagina di pagamento non sia cambiata. Se il motore è di un fornitore esterno, avvisalo. Consiglio nostro.
Esegui un antivirus aggiornato sui computer da cui si gestisce il sito: Google raccomanda di proteggere anche questi dispositivi.

Come chiedere a Google di togliere l'avviso

Secondo la guida di Google:

Requisiti: sito verificato in Search Console, contenuti dannosi eliminati, vulnerabilità corretta e sito di nuovo online.
Verifica che la home page e una pagina che era compromessa ora si carichino pulite e che Google possa scansionarle (senza blocchi né noindex).
Nel rapporto «Problemi di sicurezza», seleziona «Richiedi revisione» e spiega il problema, che cosa hai fatto e il risultato. Non inviare un'altra richiesta mentre una è in sospeso.
Tempi pubblicati da Google: compromissione con spam, fino a diverse settimane; malware, pochi giorni; phishing, circa un giorno. Se il sito è pulito, gli avvisi vengono rimossi entro 72 ore.

Dati degli ospiti e GDPR: la regola delle 72 ore

Informazione generale, non consulenza legale:

L'articolo 33 del GDPR dice che il titolare deve notificare una violazione dei dati personali all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che presenti un rischio per le persone.
Se la notifica arriva più tardi, vanno indicati i motivi del ritardo.
Se il motore di prenotazione o il fornitore web tratta i dati per tuo conto (responsabile del trattamento), l'art. 33 lo obbliga ad avvisarti senza ingiustificato ritardo.
In Italia l'autorità è il Garante per la protezione dei dati personali. Non abbiamo verificato la sua procedura di notifica: consulta il suo sito o un professionista. Questa non è consulenza legale.

Aiuto gratuito per paese

Ciò che abbiamo potuto verificare:

Italia: la guida di ACN (luglio 2024) consente a enti pubblici e privati non obbligati di notificare un incidente a CSIRT Italia in modo volontario tramite il modulo su csirt.gov.it/segnalazione.
Spagna: la linea 017 di INCIBE, gratuita e riservata, dalle 8:00 alle 23:00 tutti i giorni (La Moncloa, 14 luglio 2026).
Portogallo: CERT.PT, ospitato dal Centro Nazionale di Cybersicurezza (CNCS), copre il cyberspazio portoghese e il dominio .pt. Non abbiamo trovato un modulo per piccole imprese che potessimo leggere: non confermato.
Grecia: EL-CSIRT, dell'Autorità Nazionale per la Cybersicurezza, serve entità critiche, essenziali e importanti; non abbiamo confermato che serva un piccolo hotel.

Come aiuta iQuota

iQuota mette le strutture indipendenti a disposizione degli assistenti di IA con prenotazione diretta, pagamento in struttura e 0% di commissione, con il prezzo e le condizioni che ogni struttura stabilisce. Non possiamo garantire che un assistente di IA ti consigli.

Vuoi che le IA diano i tuoi dati reali, con prenotazione diretta e senza commissioni? I primi 30 hotel entrano gratis fino al 30 giugno 2027.

Scopri il programma Founding Hotels (in inglese)

Domande frequenti

Quanto tempo impiega Google a togliere l'avviso rosso?

Google dice che una revisione può richiedere da pochi giorni a qualche settimana (phishing circa un giorno, malware pochi giorni, spam fino a diverse settimane). Se il sito è pulito, gli avvisi vengono rimossi entro 72 ore.

Dove chiedo la revisione?

Nel rapporto «Problemi di sicurezza» di Search Console, dopo aver pulito il sito e corretto la falla.

Posso segnalare l'attacco a qualcuno in Italia?

Sì: CSIRT Italia accetta segnalazioni volontarie anche da imprese non obbligate, tramite il modulo su csirt.gov.it/segnalazione.

Devo avvisare il Garante?

Se c'è stata una violazione dei dati personali con rischio per le persone, l'art. 33 del GDPR fissa 72 ore. È informazione generale, non consulenza legale.

Devo pagare un'azienda di pulizia?

Non necessariamente. Google pubblica gratis i passaggi e la richiesta di revisione è gratuita. Se non te la senti, chiedi aiuto al tuo fornitore web.

Fonti

Altre guide per hotel

Altre guide per hotel →

Español · English · Português · Ελληνικά