Con il boom delle prenotazioni online per le vacanze estive, nel 2026 molti viaggiatori italiani si stanno ritrovando sul telefono messaggi che sembrano arrivare da hotel e piattaforme turistiche. Arrivano soprattutto via WhatsApp e parlano di un presunto mancato pagamento da sistemare in fretta. In realtà, dietro c’è il tentativo di rubare soldi, dati bancari e credenziali personali. È la nuova truffa dell’hotel su WhatsApp, un caso di phishing che punta su una paura molto semplice: perdere la camera già prenotata.

Il messaggio urgente dopo la prenotazione: il copione dei truffatori

Il copione, stando alle segnalazioni raccolte negli ultimi mesi da esperti di cybersicurezza e utenti, cambia poco. Dopo aver prenotato un soggiorno, magari una settimana al mare o un weekend in una città d’arte, il cliente riceve un messaggio su WhatsApp, via sms o, in alcuni casi, via mail. Il testo sembra inviato dalla struttura ricettiva: “C’è un problema con il pagamento”, “La carta non è stata verificata”, “Confermi i dati entro poche ore o la prenotazione sarà cancellata”. Poche righe, tono educato. Ma la pressione è chiara.

È proprio la fretta il punto su cui fanno leva i truffatori. Chi ha già organizzato ferie, treni, voli e valigie tende a rispondere subito, senza controllare troppo. “Mi hanno scritto con il nome dell’albergo e le date corrette, sembrava tutto vero”, raccontano spesso le vittime nelle segnalazioni online. Nel messaggio c’è un link, con l’invito a completare una verifica della carta di credito. Sembra una normale procedura. Invece è lì che scatta il raggiro.

Link falsi e dati veri del soggiorno: così la truffa diventa credibile

La parte più insidiosa della truffa WhatsApp dell’hotel è proprio la somiglianza con una comunicazione reale. Il link porta a una pagina web falsa, creata per copiare il sito dell’albergo, il portale di prenotazione o una schermata di pagamento già vista. Logo, colori, impaginazione: tutto è studiato per tranquillizzare chi guarda dal telefono, magari di corsa, in pausa pranzo o già con la testa alle ferie.

A rendere l’inganno ancora più convincente sono i dati reali del soggiorno. In diversi casi segnalati anche all’estero, i criminali informatici sembrano conoscere nome del cliente, date di arrivo e partenza, importo della prenotazione o struttura scelta. Può succedere quando vengono violati account di hotel, programmi gestionali usati dalle strutture o profili collegati alle piattaforme di prenotazione.

Booking.com, nell’aprile 2026, ha confermato un incidente che ha esposto alcune informazioni su prenotazioni di clienti; dati che, secondo gli esperti, possono poi essere usati per campagne di phishing mirato. Questo non vuol dire che ogni messaggio sospetto arrivi da quella violazione. Il meccanismo, però, è evidente: più dettagli ci sono, più l’utente si fida.

Pagamenti, carte e credenziali: i dati che finiscono nelle mani sbagliate

Una volta aperto il collegamento, la pagina falsa chiede di inserire dati sensibili. Di solito si parte dal numero della carta di credito. Poi vengono chiesti data di scadenza, codice Cvv, nome dell’intestatario e, in alcuni casi, anche i codici ricevuti via sms o tramite notifica dell’app bancaria. È il passaggio più pericoloso. Se l’utente compila il modulo, i truffatori possono provare ad addebitare somme subito oppure conservare quei dati per usarli più avanti.

Non cercano solo la carta. Alcune pagine contraffatte chiedono anche le credenziali di accesso alla piattaforma di prenotazione, l’indirizzo mail, il numero di telefono e altri dati personali. Tutto materiale utile per furti d’identità, nuove truffe o accessi non autorizzati ad altri servizi.

Gli esperti di sicurezza informatica ricordano che hotel seri e piattaforme affidabili difficilmente chiedono dati bancari completi tramite messaggi WhatsApp o link inviati fuori dai canali ufficiali. Una richiesta di pagamento improvvisa, soprattutto se accompagnata dalla minaccia di cancellare la prenotazione, deve quindi far accendere un campanello d’allarme. Anche se sembra tutto familiare. Anzi, proprio per questo.

Verifiche, carta bloccata e denuncia: cosa fare prima e dopo il raggiro

La difesa più efficace resta una: verificare direttamente. Prima di cliccare su un link ricevuto via WhatsApp, sms o mail, bisogna controllare il mittente, leggere bene l’indirizzo del sito e diffidare di domini strani, piccoli errori o link troppo lunghi. In caso di dubbio, meglio chiudere la chat e chiamare l’hotel usando i recapiti presenti sul sito ufficiale della struttura, non quelli indicati nel messaggio. Lo stesso vale per le piattaforme: la prenotazione va controllata dall’app o dal portale ufficiale, entrando manualmente, senza passare dai link ricevuti.

Chi ha già inserito i dati su una pagina sospetta deve agire subito. La prima chiamata va fatta alla banca o all’emittente della carta di pagamento, chiedendo il blocco e il controllo dei movimenti recenti. Poi è bene cambiare le password degli account coinvolti, attivare dove possibile l’autenticazione a due fattori e conservare screenshot del messaggio, numero del mittente, link e ricevute di eventuali addebiti.

La segnalazione può essere inviata alla piattaforma di prenotazione e alla Polizia Postale, che sul proprio portale raccoglie indicazioni e denunce sui reati informatici. A volte bastano pochi minuti di controllo per evitare che una vacanza già pagata diventi una costosa trappola digitale.