È un raggiro di phishing che colpisce i viaggiatori subito dopo la prenotazione: arrivano messaggi falsi, attribuiti a strutture ricettive o piattaforme turistiche, con l’obiettivo di rubare dati personali, carte di credito e credenziali di accesso. Il trucco, secondo le segnalazioni raccolte dagli esperti di cybersicurezza e dalla Polizia Postale, è sempre lo stesso: mettere fretta. “Confermi entro poche ore o la camera verrà cancellata”, recitano molti messaggi. E quando si è già con la testa alla partenza, riconoscere l’inganno diventa più difficile.

La truffa dell’hotel su WhatsApp di solito parte così: il viaggiatore ha appena prenotato una camera, magari per un weekend al mare o per una settimana in una città europea, e riceve un messaggio che sembra arrivare proprio dall’hotel. Nel testo si parla di un problema con il pagamento, di una carta da “verificare” o di dati mancanti per non perdere la prenotazione. Poche righe, tono gentile ma urgente, e un link da aprire.

A rendere tutto più credibile sono i dettagli. Il nome della struttura, le date del soggiorno, a volte persino l’importo o il numero della prenotazione. Sono informazioni che il turista riconosce subito. E proprio per questo abbassa la guardia. “Sembrava tutto vero, anche il logo era quello”, raccontano spesso le vittime nelle segnalazioni. Solo dopo, guardando meglio il mittente o l’indirizzo della pagina, ci si accorge che qualcosa non torna.

Link falsi e pagine clone: così spariscono carta, codici e credenziali

Gli esperti invitano a diffidare soprattutto delle richieste che arrivano fuori dai canali ufficiali. Un hotel o una piattaforma seria, di norma, non chiede via WhatsApp, sms o email di inserire codici bancari completi o credenziali personali. Se il messaggio insiste perché si agisca subito, nel giro di pochi minuti, il campanello d’allarme deve scattare.

Il passaggio chiave della truffa dell’hotel su WhatsApp è il link. Chi lo apre finisce su una pagina web costruita per somigliare al sito della struttura o al portale usato per prenotare: stessi colori, pulsanti quasi identici, moduli ben ordinati, talvolta anche una finta area riservata. Tutto appare normale. Ed è lì che entra in scena il phishing.

La pagina chiede di inserire il numero della carta di credito, la data di scadenza, il codice Cvc, oppure username e password dell’account di viaggio. In altri casi compare una procedura di “pre-autorizzazione” o la richiesta di un piccolo pagamento per confermare la camera. Una cifra bassa, 1 o 2 euro, scelta proprio per non insospettire. Ma quei dati, una volta digitati, finiscono direttamente ai truffatori.

Da quel momento possono partire addebiti non autorizzati, tentativi di accesso agli account e, nei casi più gravi, operazioni di furto d’identità. Alcune vittime se ne accorgono poche ore dopo, controllando l’app della banca. Altre solo al rientro dalle ferie, quando trovano movimenti mai approvati. Spesso la differenza la fanno pochi minuti.

Dati veri delle prenotazioni: il dettaglio che rende mirati gli attacchi

La parte più insidiosa di questi raggiri è l’uso di informazioni reali. Negli ultimi mesi, secondo ricostruzioni diffuse nel settore della sicurezza informatica, diversi attacchi hanno colpito account di strutture ricettive, gestionali alberghieri e profili collegati alle prenotazioni. In alcuni casi i criminali sarebbero riusciti a vedere dati utili per preparare messaggi su misura.

Anche Booking.com, nell’aprile 2026, ha confermato un incidente che ha esposto alcune informazioni relative a prenotazioni di clienti, dati che potrebbero essere usati per campagne di phishing mirato. Questo non significa che ogni messaggio sospetto nasca da una violazione della piattaforma. Ma il rischio per il settore turistico è concreto. Più dati circolano, più il raggiro sembra vero.

Il mondo dei viaggi, in piena stagione estiva, è un bersaglio naturale: milioni di utenti prenotano alberghi, case vacanza e voli, spesso dal telefono, magari di fretta o mentre sono in movimento. I truffatori lo sanno bene. Per questo scelgono canali rapidi come WhatsApp, dove il messaggio sembra personale, diretto, quasi familiare.

Cosa controllare subito e cosa fare se si è caduti nella trappola

La prima difesa contro la truffa dell’hotel su WhatsApp è semplice: non cliccare sui link ricevuti in messaggi inattesi, soprattutto se chiedono pagamenti o dati bancari. In caso di dubbio, meglio chiudere la chat e contattare direttamente l’hotel, usando il numero indicato sul sito ufficiale e non quello scritto nel messaggio. Lo stesso vale per le piattaforme: si entra dall’app o dal portale già conosciuto, mai da collegamenti arrivati in chat.

Prima di inserire qualunque dato, conviene controllare l’indirizzo del sito, cercare errori nel dominio, fare attenzione a richieste strane e confrontare il messaggio con le comunicazioni ricevute al momento della prenotazione. Utile anche attivare l’autenticazione a due fattori sugli account di viaggio e sulle email, oltre a tenere d’occhio i movimenti della carta. Una notifica della banca, a volte, può evitare guai peggiori.

Chi ha già inserito dati su una pagina sospetta deve chiamare subito la banca o l’emittente della carta, bloccare eventuali operazioni e chiedere la sostituzione dello strumento di pagamento. Poi è bene cambiare le password degli account coinvolti, uscire dalle sessioni attive e fare una segnalazione alla Polizia Postale, allegando screenshot, numeri di telefono, link ricevuti e orari dei messaggi. Pochi passaggi, ma da fare in fretta. Perché in queste truffe, più ancora della tecnologia, conta il tempo.