La violazione di Booking.com si trasforma in una truffa su WhatsApp che colpisce i viaggiatori prima dell'estate 2026

Mercoledì scorso una lettrice ci ha inoltrato uno screenshot di WhatsApp. Il messaggio proveniva da un numero ceco (+420), la salutava per nome, citava la prenotazione di quattro notti ad Amsterdam effettuata a febbraio, riportava correttamente la data di check-in e la avvisava che aveva meno di 12 ore per verificare nuovamente la sua carta, altrimenti avrebbe perso la camera. Ogni singolo dettaglio era esatto. Per poco non ha pagato. Poi ha aperto l'app ufficiale di Booking.com e non c'era alcun messaggio corrispondente nella sua casella di posta reale. Negli ultimi dieci giorni abbiamo visto sei versioni di questo copione arrivare nei nostri messaggi privati. I dati usati dai truffatori sono reali. L'urgenza no.

Cosa è successo davvero il 13 aprile 2026

Il 13 aprile 2026 Booking.com ha iniziato a informare i clienti che soggetti non autorizzati avevano avuto accesso ai dati delle prenotazioni tramite account compromessi di hotel partner. Il servizio di TechCrunch sulla divulgazione riporta che Booking.com non ha voluto specificare quanti clienti siano stati colpiti. L'analisi della violazione di Malwarebytes ribadisce lo stesso punto: "Booking.com non rilascia dichiarazioni". Booking.com ha riferito al The Guardian che in questo incidente non sono state sottratte informazioni finanziarie. I dati accessibili includono nomi, indirizzi email, indirizzi fisici, numeri di telefono, riferimenti di prenotazione e persino i messaggi privati scambiati tra ospiti e strutture (Help Net Security). I numeri che circolano online (4.000 clienti, 300 carte) appartengono a un distinto incidente negli Emirati Arabi Uniti del 2018 che ha portato a una multa di 475.000 € da parte dell'autorità olandese per la protezione dei dati nel 2021. I viaggiatori continuano a confonderli con la vicenda dell'aprile 2026.

Ecco la parte che la maggior parte dei media tralascia. La tua password di Booking.com è al sicuro. Cambiarla non serve a nulla. Gli aggressori non hanno violato il sistema centrale di Booking.com. Hanno violato gli accessi all'extranet dei singoli hotel, per poi estrarre le liste delle prenotazioni visibili a quegli hotel. Malwarebytes traccia la catena fino a una campagna di phishing che ha preso di mira silenziosamente il personale degli hotel per gran parte dell'anno. Un'altra cosa che la violazione non è: non si tratta di una fuga di password di Booking.com. Le tue credenziali non sono state pubblicate su un forum di hacker. Se ti chiedi "dovrei cambiare la mia password di Booking.com", la risposta è "puoi farlo, ma non risolverà il problema". Il vettore è il lato hotel della piattaforma (e il nostro confronto tra prenotazioni dirette e tramite terzi nel 2026 approfondisce il motivo per cui questa distinzione è importante). Il rimedio è nelle tue mani.

Un sondaggio tra i consumatori di Which? ha rilevato che il 9% dei 237 membri Which? UK intervistati ha ricevuto un messaggio di truffa su Booking.com, e quel sondaggio è stato condotto prima che la divulgazione di aprile rendesse i dati ancora più utili per gli aggressori. Tra giugno 2023 e settembre 2024, il periodo di riferimento più recente pubblicato, Action Fraud UK ha registrato 532 segnalazioni di truffe su Booking.com per un totale di 370.000 £ di perdite. Quei numeri sembreranno irrisori entro agosto.

Come funziona davvero la truffa di Booking.com su WhatsApp

I meccanismi sono importanti, perché ti dicono cosa correggere e cosa è inutile. Il report di Microsoft Threat Intelligence sulla campagna mappa la catena in dettaglio, e The Hacker News ha documentato la vasta operazione successiva nel novembre 2025. Tutto inizia con un'email al team di reception o prenotazioni di un hotel: un falso reclamo di un ospite, una falsa richiesta di documenti o un messaggio del tipo "la tua struttura ha un problema". L'hotel clicca. Arrivano su una pagina che utilizza una tecnica chiamata ClickFix. Un falso CAPTCHA dice loro di premere Windows+R, incollare un "comando di verifica" e premere Invio. Lo fanno. Quel comando installa PureRAT, un trojan di accesso remoto che consegna silenziosamente all'aggressore l'accesso in tempo reale all'extranet di Booking.com dell'hotel.

Da quel momento l'aggressore non ha bisogno di rompere nulla. Accede come se fosse l'hotel. Legge la lista delle prenotazioni. Vede il tuo nome, le tue date, il tuo numero di telefono, i tuoi messaggi. Hanno quello che il team di ricerca di Gen Digital chiama "Reservation Hijack Scam", un copione che cita prenotazioni reali in modo così convincente che persino i viaggiatori esperti ci cascano.

Quindi perché WhatsApp, perché un numero ceco o indiano? Due motivi. Primo, i messaggi WhatsApp non finiscono nella casella di posta di Booking.com dove il brand potrebbe segnalarli. Secondo, i prefissi internazionali sembrano abbastanza strani da sembrare "internazionali" ma abbastanza normali per una piattaforma globale. Un viaggiatore vede +420 e pensa "agenzia di viaggi europea", non "criminale in uno scantinato". Il centro assistenza di WhatsApp è chiaro: tratta i messaggi non richiesti che chiedono denaro o codici come truffe, indipendentemente da quanto sappiano su di te.

Come verificare un messaggio WhatsApp di Booking.com in 60 secondi

Puoi risolvere quasi ogni richiesta di pagamento sospetta in meno di un minuto se segui la stessa routine ogni volta. Il trucco è la memoria muscolare. Non leggere il messaggio due volte, non discuterci nella tua testa, non cliccare nulla. Apri l'app, poi chiama l'hotel. Tutto qui.

Sessanta secondi. L'intero scopo della scadenza di 24 ore nel messaggio di truffa è quello di mandare in corto circuito questa routine. Rallenta di proposito. Un vero hotel non cancellerà la tua prenotazione perché hai impiegato dieci minuti per verificare. E se il messaggio sostiene che la tua carta verrà addebitata automaticamente senza una nuova verifica, quello è un altro segnale: i circuiti delle carte non funzionano così.

5 frasi che rivelano una truffa di Booking.com su WhatsApp

Una volta letti alcuni di questi copioni, suonano tutti uguali, perché sono tradotti da una piccola libreria di modelli. Abbiamo iniziato a tenere un elenco man mano che ci vengono inoltrati esempi dai lettori. Cinque frasi ricorrono in quasi tutte le versioni, e una sola di esse è sufficiente per cestinare l'intero messaggio.

Una frase è sospetta. Due sono definitive. Non abbiamo mai visto una comunicazione di prenotazione legittima usare una di queste espressioni, in hotel di oltre venti paesi in cui abbiamo prenotato personalmente. Persino le catene low-cost che inviano le email di upsell più aggressive non usano questo vocabolario, perché i loro team legali non lo approverebbero mai.

Se hai già pagato: il manuale per il rimborso

Se hai cliccato sul link e inserito la tua carta, i prossimi 60 minuti contano più dei prossimi 60 giorni. I dati della carta sono già nelle mani dell'aggressore; la domanda è se riusciranno a usarli. Il tuo percorso di rimborso dipende da chi contatti, e i canali non pagano allo stesso modo. Ecco come si confrontano i quattro canali di rimborso più comuni per una tipica truffa di dirottamento hotel. La stessa logica di storno si applica se un volo viene cancellato, e la nostra guida al rimborso per voli cancellati analizza quella variante in dettaglio.

La classifica realistica: prima l'emittente della carta, poi Booking.com (vale la pena provare), poi l'assicurazione (paga raramente). L'assicurazione paga raramente perché la frode in cui il titolare della carta ha inserito volontariamente i dettagli, anche sotto pressione di ingegneria sociale, viene trattata diversamente da una transazione non autorizzata, e la maggior parte delle polizze la esclude. La nostra analisi di ciò che l'assicurazione di viaggio copre effettivamente nel 2026 approfondisce questo aspetto.

Ecco l'ordine esatto da seguire se hai già inserito i dati della tua carta:

1. Blocca immediatamente la carta. La maggior parte delle app bancarie ora ha un blocco con un solo tocco. Fallo prima di qualsiasi altra cosa, anche prima di accedere a Booking.com.
2. Chiama la linea antifrode dell'emittente della carta. Usa il numero stampato sulla carta fisica, non un numero proveniente da email o messaggi. Dì loro che si tratta di una transazione indotta da phishing. Chiedi il numero del caso di contestazione per iscritto.
3. Cambia la password di Booking.com e abilita l'autenticazione a due fattori. Questo non annullerà la violazione, ma bloccherà il tuo account contro futuri tentativi di accesso tramite credenziali usando l'email trapelata.
4. Controlla la tua email tramite Have I Been Pwned. Se appari in altre violazioni insieme a questa, ruota le password interessate tramite un gestore. Qualsiasi gestore di password affidabile (1Password, Bitwarden o KeePass) gestisce la rotazione in blocco in un unico flusso di lavoro.
5. Segnala la truffa. I viaggiatori nel Regno Unito segnalino ad Action Fraud. I viaggiatori negli Stati Uniti segnalino al portale ReportFraud della FTC e all'FBI Internet Crime Complaint Center. Segnalare non recupera i tuoi soldi, ma costruisce il modello che rende possibile il prossimo arresto.
6. Conserva ogni screenshot, ogni riferimento di transazione, ogni email. Il tuo caso di contestazione vive o muore in base alla documentazione. La banca vuole lo screenshot di WhatsApp che mostra la frase. La banca vuole l'email. La banca vuole il timestamp.

L'errore più grande che vediamo è che le persone chiamano prima Booking.com e aspettano che risolvano loro il problema. Booking.com non può annullare una transazione che il tuo emittente ha autorizzato. Chiama prima la banca; la piattaforma può aspettare.

Perché l'estate 2026 è la finestra di rischio massimo

Due fatti del calendario si scontrano proprio ora. Le prenotazioni effettuate prima della divulgazione del 13 aprile sono ancora nelle mani degli aggressori, e la maggior parte ha date di check-in a giugno, luglio e agosto. Le vacanze scolastiche in gran parte dell'Europa iniziano la terza settimana di giugno. Le famiglie hanno già pagato, non possono spostare facilmente la prenotazione e hanno il costo emotivo più alto se qualcosa "minaccia" la prenotazione. È il target demografico per cui sono ottimizzati i copioni.

Il segnale del volume è visibile in tempo reale. I subreddit r/travel e r/TravelHacks si stanno riempiendo di segnalazioni quasi identiche per tutto maggio 2026; la ricerca sul Reservation Hijack di Gen Digital documenta lo stesso copione che appare in più regioni e lingue. La ricerca sulle truffe di viaggio 2026 di McAfee stima che le truffe legate ai viaggi siano costate alle vittime circa 13 miliardi di dollari a livello globale nel 2025, con una perdita media vicina ai 1.000 $ per vittima, e quella cifra è stata registrata prima che la violazione del 2026 aggiungesse un nuovo set di dati alla catena di approvvigionamento criminale.

Perché la truffa di Booking.com del 2026 è diversa dal phishing

La truffa di Booking.com su WhatsApp del 2026 differisce dal phishing generico in un modo specifico: l'aggressore ha già la tua prenotazione reale. Un normale messaggio di phishing indovina ("hai prenotato un hotel di recente?"); il dirottamento della prenotazione cita ("la tua prenotazione presso l'Hotel X, meno di 12 ore per confermare"). Ogni difesa addestrata sul phishing generico, saluti vaghi, inglese stentato, URL non corrispondenti, mittenti sospetti, crolla quando il messaggio di truffa azzecca ogni dettaglio contestuale.

Confrontalo con il resto del panorama delle truffe che abbiamo trattato nella nostra guida regionale alle truffe di viaggio e nella copertura sorella sulla protezione dei consumatori nel nostro pezzo sui trucchi di marketing di viaggio sporchi che nessuno nota. Una sovrapprezzo del taxi a Lisbona o uno skimmer per carte in un bancomat di Barcellona sono opportunistici e fisici. Il dirottamento di Booking.com è l'opposto. È pre-targetizzato, remoto e asimmetrico. L'aggressore sa del tuo viaggio più di quanto ne sappia il tuo coniuge, e scommettono sul fatto che tu non sappia che loro lo sanno.

Anche la logica difensiva si ribalta. Per le truffe di strada fisiche la risposta è la consapevolezza nel momento. Per il dirottamento della prenotazione la risposta è il processo: fidati della tua prenotazione, non del messaggio. Se una richiesta non è arrivata all'interno dell'app ufficiale o alla reception dell'hotel, non proviene da una fonte reale. Questa è l'unica regola.

È qui che una fonte di verità singola e affidabile per il tuo viaggio ripaga. Quando le tue conferme di prenotazione vivono in un unico posto che controlli, insieme alle date di check-in, agli indirizzi degli hotel e ai riferimenti di prenotazione, puoi aprire il viaggio, vedere il PDF e confrontarlo con qualsiasi messaggio non richiesto in cinque secondi, senza mai toccare il link. L'area Documenti di TripProf gestisce questo per chi la usa; anche una nota condivisa sul telefono funziona, purché la regola sia la stessa: fidati della tua prenotazione, non di WhatsApp.

Anche lo strato della carta conta. Se prenoti con una carta con forti tutele per i consumatori, e il nostro confronto delle carte che i viaggiatori portano effettivamente con sé analizza quali, il percorso di storno è veloce e prevedibile. La stessa truffa contro una carta di debito è una lotta molto più lunga, perché le contestazioni sulle carte di debito sono regolate dalla Regulation E negli Stati Uniti, che è molto più debole della protezione delle carte di credito.

La difesa in una frase

Le email di truffa pre-aprile 2026 si basavano sul volume: invia un milione di messaggi, spera che cento persone siano nervose per qualsiasi prenotazione Booking.com. I dirottamenti post-aprile 2026 sono chirurgici. Inviano un messaggio che nomina l'hotel che hai scelto davvero, nella notte in cui hai fatto il check-in davvero, contro una carta che hai usato davvero, e giocano su una vulnerabilità che non sapevi di avere, ovvero che la tua conferma di prenotazione è genuinamente reale ed emotivamente importante.

La difesa è esattamente quel disallineamento. Il truffatore ha i dati; tu hai l'accesso. Possono citare la tua prenotazione da una lista rubata, ma tu puoi aprire la prenotazione in tempo reale all'interno dell'app. Possono scrivere "la tua prenotazione è a rischio", ma tu puoi chiamare l'hotel a un numero che non controllano. Loro hanno i dati. Tu hai l'app sul telefono. Non è una lotta leale a loro favore, è una lotta leale a tuo favore.

E i viaggiatori fuori dal Regno Unito e dagli Stati Uniti?

I canali di segnalazione differiscono ma il manuale no. Nell'UE la violazione rientra nell'Articolo 33 del GDPR, che richiede ai titolari del trattamento di notificare le autorità di controllo entro 72 ore dal momento in cui vengono a conoscenza di una violazione dei dati personali. Ecco perché Booking.com ha inviato rapidamente la notifica ai clienti. Avevano un orologio legale che correva. I residenti dell'UE interessati possono presentare un reclamo gratuito alla propria autorità nazionale per la protezione dei dati se ritengono che la divulgazione sia stata inadeguata.

Per il coordinamento della criminalità transfrontaliera, i canali di ricezione equivalenti all'IC3 di Europol passano attraverso le forze di polizia nazionali; la loro guida pubblica copre il quadro di segnalazione di base. Spagna, Germania, Francia e Italia hanno tutte unità nazionali per la criminalità informatica che accettano segnalazioni di phishing da parte dei consumatori nella lingua locale.

In pratica, il percorso di storno all'interno dell'UE è dettato dal circuito della carta piuttosto che dalla legge nazionale. Sia Visa che Mastercard gestiscono quadri di contestazione che si applicano equamente in tutto il blocco. I codici di motivo relativi a "transazione fraudolenta" e "servizio non fornito" sono quelli pertinenti, e il team antifrode della tua banca saprà quale presentare. I viaggiatori australiani e canadesi hanno diritti di storno analoghi tramite Visa, Mastercard e Amex.

La checklist pre-viaggio che seguiamo ora

Abbiamo adattato la nostra routine pre-viaggio dopo la divulgazione. Nulla di tutto ciò è costoso o tecnico. Tutto ciò rende la truffa di Booking.com su WhatsApp molto meno efficace quando arriva. Per il quadro più ampio pre-partenza, la nostra checklist dei documenti di viaggio per il 2026 copre il lato burocratico dello stesso problema.

• Salva il numero di telefono verificato dell'hotel da Google Maps nei tuoi contatti il giorno in cui prenoti. Così, quando arriverà un messaggio sospetto, il numero reale sarà a portata di tocco.
• Fai uno screenshot dell'email di conferma e salvalo offline in un'app di documenti o all'interno di qualsiasi pianificatore di viaggio che usi già. Il punto è avere il riferimento della prenotazione da qualche parte dove il truffatore non può influenzare.
• Prenota con una carta di credito con una forte protezione dei consumatori, non con una carta di debito. La matematica dello storno è diversa.
• Imposta una carta virtuale a basso saldo per qualsiasi pagamento al di fuori del flusso di prenotazione originale. Le carte virtuali usa e getta di Revolut (piano gratuito), Privacy.com negli Stati Uniti e la maggior parte delle banche challenger offrono carte virtuali con un tocco in 30 secondi. Se hai davvero bisogno di saldare una camera o aggiungere una notte extra, usa quella, non la tua carta principale.
• Dì ai tuoi compagni di viaggio la regola prima del viaggio: qualsiasi richiesta di pagamento passa solo tramite l'app o una telefonata verificata. I viaggi di gruppo sono particolarmente vulnerabili quando solo l'organizzatore conosce i dettagli della prenotazione, quindi tutti nel gruppo dovrebbero conoscere anche il riferimento della prenotazione.
• Se prenoti più hotel per lo stesso viaggio, scrivi quale hai prenotato tramite quale canale (Booking.com, direttamente l'hotel, un'altra piattaforma). Quando arriva un messaggio falso che cita "la tua prenotazione del 14 giugno", sapere da quale flusso di prenotazione finge di provenire è metà della battaglia.

Domande frequenti

Sono stato colpito dalla violazione dei dati di Booking.com?

Se hai prenotato tramite Booking.com nella finestra interessata e il tuo hotel partner era una delle strutture compromesse, probabilmente sei stato esposto. Booking.com sta avvisando direttamente i clienti interessati ma non ha reso pubblico il numero di persone colpite. Un'email negativa non significa che sei al sicuro; significa solo che non eri nel lotto di notifica specifico. Chiunque abbia una prenotazione attiva dovrebbe comunque trattare i messaggi di pagamento non richiesti come ostili per impostazione predefinita.

Perché il truffatore conosce il nome reale del mio hotel e le date di check-in?

Perché l'aggressore ha effettuato l'accesso all'extranet di Booking.com del tuo hotel utilizzando credenziali rubate tramite una campagna di phishing ClickFix che Microsoft Threat Intelligence sta monitorando dal 2024. I tuoi dati non sono stati presi dal database centrale di Booking.com. Sono stati presi dal pannello di accesso dell'hotel. Ecco perché cambiare la tua password di Booking.com non serve a nulla.

Come posso contattare direttamente il mio hotel per verificare un messaggio di Booking.com?

Cerca il nome dell'hotel più la città su Google Maps. Il pannello aziendale verificato mostra il numero di telefono elencato dell'hotel, usa quello. Non chiamare mai un numero che appare nel messaggio WhatsApp, SMS o email di cui sei sospettoso. Se l'hotel utilizza una linea di prenotazione centralizzata, chiedi alla reception di trasferirti a chi gestisce le prenotazioni di Booking.com. L'intera chiamata richiede due minuti e risolve la questione per davvero.

Il messaggio WhatsApp che mi chiede di verificare nuovamente la carta è una truffa?

Sì. Booking.com ha dichiarato che non richiederà mai il pagamento o la nuova verifica della carta tramite WhatsApp, SMS, telefono, email o qualsiasi link al di fuori dell'app e del sito ufficiale. Qualsiasi messaggio che richieda un processore di terze parti, una scadenza urgente di 24 ore o un link di pagamento sicuro è una truffa. Apri tu stesso l'app per confermare.

Come faccio a controllare se un messaggio di Booking.com è reale?

Apri l'app di Booking.com sul tuo telefono (non toccare alcun link), vai su Viaggi, trova la prenotazione, quindi apri Messaggi. Ogni comunicazione legittima da parte di Booking.com o della struttura vive in quella conversazione. Se il messaggio che hai ricevuto tramite WhatsApp non è rispecchiato nella casella di posta in-app, è falso. Come secondo controllo, chiama l'hotel usando il numero di telefono di Google Maps.

Cosa devo fare se ho già cliccato sul link o inserito i dati della carta?

Blocca la carta nella tua app bancaria proprio ora. Poi chiama la linea antifrode del tuo emittente (usa il numero sul retro della carta, non quello di alcun messaggio), presenta una contestazione e chiedi un numero di caso. Cambia la tua password di Booking.com e abilita l'autenticazione a due fattori. Segnala la truffa ad Action Fraud nel Regno Unito, al portale ReportFraud della FTC negli Stati Uniti o alla tua unità nazionale di polizia informatica nell'UE. Conserva ogni screenshot, perché la tua contestazione ne avrà bisogno.

Booking.com rimborsa le vittime della truffa di dirottamento della prenotazione?

In modo incoerente. Alcuni utenti segnalano rimborsi parziali per buona volontà, specialmente quando la prenotazione stessa è stata pagata tramite il flusso di pre-pagamento "pagamento sicuro" di Booking.com. Molti non segnalano nulla. La posizione ufficiale di Booking.com è che non può annullare gli addebiti che il tuo emittente ha autorizzato. Il canale di rimborso affidabile è la contestazione dell'emittente della carta, non Booking.com.

Dovrei cancellare e riprenotare il mio hotel dopo la violazione?

Di solito no. L'hotel non può annullare i dati che hanno già lasciato la loro extranet, e cancellare comporta la perdita della prenotazione secondo la maggior parte delle politiche. Una mossa più pulita è confermare la prenotazione direttamente con l'hotel per telefono (usando un numero verificato di Google Maps), assicurarsi che i dettagli del check-in corrispondano esattamente e rifiutare qualsiasi futura richiesta di pagamento che arrivi tramite messaggio anziché alla reception.

Perché questi WhatsApp di truffa provengono da prefissi internazionali (+420, +91)?

Perché i numeri WhatsApp dalla Repubblica Ceca, dall'India o dall'Indonesia sono economici da configurare su larga scala e più difficili da verificare per le vittime. Il prefisso internazionale sembra abbastanza straniero da adattarsi a "piattaforma di viaggi internazionale" e abbastanza sconosciuto da non far riconoscere immediatamente ai viaggiatori che è sospetto. L'origine del numero non ti dice nulla di utile sul fatto che il messaggio sia reale; è il contenuto a tradirlo.

La mia assicurazione di viaggio coprirà i soldi persi in una truffa di phishing su Booking.com?

Di solito no. La maggior parte delle polizze di viaggio per i consumatori esclude le perdite in cui l'assicurato ha fornito volontariamente i dettagli della carta, anche sotto pressione di ingegneria sociale. Alcune polizze di cyber-assicurazione standalone coprono il phishing, e alcune carte di credito premium includono una copertura contro il furto di identità che può pagare. Leggi le esclusioni per frode della tua polizza prima di presumere di essere coperto.

Posso controllare se la mia email è stata coinvolta in altre violazioni?

Sì. Have I Been Pwned esegue una ricerca gratuita che aggrega i set di dati di violazione pubblicati. Inserisci la tua email su haveibeenpwned.com e il sito elenca ogni violazione in cui appari. Se la violazione di Booking.com è una delle tante, ruota ogni password interessata tramite un gestore come 1Password, Bitwarden o KeePass.

Punti chiave

• Booking.com non è stata violata. I partner alberghieri sì. Ruotare la tua password di Booking.com non aiuta, perché l'aggressore è loggato come l'hotel.
• Booking.com non ha reso pubblico il numero di clienti interessati nell'incidente dell'aprile 2026 e ha confermato che non sono state sottratte informazioni finanziarie. Le cifre ampiamente ripetute "4.000 clienti / 300 carte" appartengono a un incidente separato del 2018, non a questo.
• I cinque segnali che indicano una truffa di Booking.com su WhatsApp: "verifica nuovamente", "entro 24 ore", "link di pagamento sicuro", "prenotazione a rischio", "processore di terze parti". Uno è sospetto. Due sono definitivi.
• Routine di sessanta secondi: apri tu stesso l'app, controlla la casella di posta in-app, cerca l'hotel su Google Maps, chiama il numero verificato. Non discutere con il messaggio.
• Se hai già pagato, blocca la carta e chiama prima l'emittente, non Booking.com. Negli Stati Uniti, l'FCBA ti dà 60 giorni dall'estratto conto che mostra l'addebito; nel Regno Unito, la Sezione 75 si estende fino a sei anni su acquisti a credito da 100 £ a 30.000 £.
• Strumenti come TripProf, o qualsiasi pianificatore in cui tieni le tue conferme di prenotazione in un unico posto, ti danno una fonte di verità indipendente da confrontare con qualsiasi messaggio non richiesto: "fidati della tua prenotazione, non di WhatsApp".
• L'estate 2026 è la finestra peggiore perché ogni prenotazione pre-aprile è ancora un dato attivo. I viaggiatori con soggiorni da giugno a settembre dovrebbero trattare ogni richiesta di pagamento non richiesta come ostile finché non viene verificata.
• Internet non diventa più sicuro in tempo per il tuo check-in. Il tuo processo sì.

Fonti

• TechCrunch: Booking.com conferma che gli hacker hanno avuto accesso ai dati dei clienti, aprile 2026
• Help Net Security: La violazione dei dati di Booking.com espone i dati di prenotazione dei clienti, aprile 2026
• Malwarebytes: La violazione di Booking.com dà ai truffatori ciò di cui hanno bisogno per colpire gli ospiti, aprile 2026
• Microsoft Threat Intelligence: Campagna di phishing impersona Booking.com, consegna malware per il furto di credenziali
• The Hacker News: Attacchi di phishing ClickFix su larga scala, novembre 2025
• Which?: Violazione dei dati di Booking.com, cosa devi sapere
• Avviso Action Fraud UK: Finestra di segnalazione truffe Booking.com (giugno 2023 - settembre 2024)
• Gen Digital (Norton): Ricerca sulla truffa di dirottamento della prenotazione
• McAfee: 1 viaggiatore su 3 affronta truffe di viaggio nel 2026
• CFPB: Diritti e tempistiche per la contestazione di frodi su carte di credito
• GDPR.eu: Articolo 33 notifica di violazione dei dati personali (regola delle 72 ore)
• Europol: Guida alla consapevolezza pubblica e alla prevenzione sulla criminalità informatica
• FBI IC3: Avvisi del settore dell'Internet Crime Complaint Center
• FTC ReportFraud: Portale di segnalazione frodi ai consumatori USA
• Action Fraud UK: Centro nazionale di segnalazione per frodi e criminalità informatica
• Have I Been Pwned: Servizio pubblico di ricerca violazioni
• Centro assistenza WhatsApp: Come identificare e segnalare messaggi di truffa
• Bitdefender Scamio: Strumento gratuito di verifica dei messaggi di truffa