L’estate rappresenta uno dei periodi più redditizi per il settore turistico, ma anche uno dei momenti preferiti dai cyber criminali. L’elevato numero di prenotazioni online, pagamenti elettronici e comunicazioni tra clienti, hotel e agenzie di viaggio crea infatti terreno fertile per condurre campagne di phishing sempre più credibili.
Secondo una recente analisi di Check Point Research, gli attacchi informatici contro il comparto dei viaggi e dell’ospitalità sarebbero aumentati del 122% negli ultimi tre anni, un dato che evidenzierebbe come il turismo sia diventato uno dei principali obiettivi delle organizzazioni criminali.
Fonte: Check Point Research.
La crescita degli attacchi sarebbe nettamente superiore a quella registrata nella maggior parte degli altri settori economici dimostrando come i criminali informatici adattino rapidamente le proprie strategie agli eventi stagionali e alle abitudini degli utenti.
Indice degli argomenti
Domini falsi e siti contraffatti per rubare dati
Uno degli strumenti più utilizzati dagli attaccanti consiste nella registrazione di domini Internet che richiamano i nomi di portali molto conosciuti per la prenotazione di voli, hotel e case vacanza.
Questi siti, riproducendo fedelmente grafica, loghi e struttura delle piattaforme originali, indurrebbero le vittime a credere di trovarsi su pagine legittime (Booking.com, Airbnb e Skyscanner) con l’obiettivo di convincere gli utenti a inserire credenziali di accesso, dati personali e informazioni delle carte di pagamento, che vengono immediatamente trasmesse agli operatori delle campagne criminali.
Fonte: Check Point Research.
Sempre secondo il rapporto, nel solo mese di maggio 2026 sarebbero stati registrati oltre 47.000 nuovi domini collegati al settore dei viaggi e solo una parte di essi sarebbe stata rapidamente classificata come dannosa o sospetta (uno su 112):
- airbnb.ca[.]com
- skyscanners[.]shop, skyscanners[.]life
- bookingni[.]com, booking-cn[.]com e booking-hk[.]com
Il social engineering rende gli attacchi più efficaci
Le campagne osservate da Check Point fanno largo uso del social engineering. Le vittime ricevono e-mail o messaggi che simulano comunicazioni provenienti da hotel, compagnie aeree o piattaforme di prenotazione.
In molti casi viene richiesto di confermare una prenotazione, aggiornare un metodo di pagamento oppure approfittare di un’offerta disponibile solo per poche ore.
La pressione psicologica svolge un ruolo fondamentale. La paura di perdere una prenotazione o un’offerta particolarmente conveniente porta molti utenti ad agire senza verificare l’autenticità del messaggio ricevuto.
I criminali sfruttano inoltre la fiducia riposta nei marchi più conosciuti, riproducendo in modo accurato loghi, colori e certificati HTTPS, elementi che possono trasmettere un falso senso di sicurezza.
Fonte: Check Point Research.
Le conseguenze per utenti e aziende
Il furto delle credenziali rappresenta soltanto il primo passo dell’attacco. Gli account compromessi possono essere utilizzati per effettuare prenotazioni fraudolente, sottrarre dati personali, rivendere le informazioni nel cybercrime o lanciare nuove campagne di phishing sfruttando la fiducia dei contatti della vittima.
Anche alberghi, agenzie di viaggio e operatori turistici sono esposti a rischi significativi. Un singolo account aziendale compromesso può consentire agli attaccanti di accedere alle comunicazioni con i clienti, modificare coordinate di pagamento, distribuire malware oppure compromettere l’immagine dell’organizzazione, con pesanti conseguenze economiche e reputazionali.
Come difendersi dalle campagne di phishing
La difesa richiede attenzione sia da parte degli utenti sia delle aziende.
Prima di effettuare una prenotazione è opportuno verificare attentamente l’indirizzo del sito web, evitando di raggiungere le piattaforme attraverso link ricevuti via e-mail o SMS.
È inoltre consigliabile utilizzare l’autenticazione a più fattori per proteggere gli account e diffidare delle offerte eccessivamente vantaggiose o delle richieste urgenti di pagamento.
Per le organizzazioni diventa, invece, fondamentale adottare sistemi di protezione della posta elettronica, monitorare la registrazione di domini simili al proprio marchio e formare il personale affinché riconosca i principali indicatori di phishing.
La sensibilizzazione degli utenti continua, infatti, a rappresentare uno degli strumenti più efficaci per contrastare il successo di queste campagne.
L’analisi di Check Point conferma che il phishing continua a evolversi seguendo le abitudini delle persone. Ogni periodo dell’anno, con cadenza prevedibile, offre ai criminali nuove opportunità per costruire esche convincenti e sfruttare eventi di forte interesse pubblico e durante la stagione delle vacanze il settore turistico diventa inevitabilmente uno dei bersagli principali.
Per questo motivo, è essenziale mantenere alta l’attenzione anche quando si effettuano semplici operazioni di prenotazione online.
Bastano pochi secondi per verificare un indirizzo web o controllare il mittente di un messaggio, ma queste semplici verifiche possono evitare il furto di dati personali, credenziali e informazioni finanziarie, riducendo sensibilmente il rischio di cadere vittima di una campagna di phishing.
Partecipa alla community