Attenzione al phishing via Booking.com , un caso reale e subdolo

Di recente, mio fratello mi ha raccontato un'esperienza che merita la massima attenzione. Dopo aver prenotato un hotel tramite Booking.com, ha ricevuto una mail dall’aspetto legittimo con oggetto simile a:

"Your reservation is at risk of cancellation"

Nel corpo del messaggio, un tono urgente:

Hi,

There's a page ready for you to visit now.

www. xxxxxxxxxx . xxx <- sito truffa

Please review it in the next 6 hours.

Otherwise, your progress may be affected.

Quasi in contemporanea, è arrivato un altro messaggio via "chat di Booking" (mail) , apparentemente dallo stesso hotel prenotato. Stesso contenuto, stesso link.

Il phishing camuffato da "verifica prenotazione"

Il sito di destinazione era una pagina clonata alla perfezione:

• Al primo step chiedeva i dati personali.
• Al secondo step, come prevedibile, chiedeva i dati della carta di credito, con la solita formula

"Per motivi di sicurezza, l'importo verrà solo temporaneamente trattenuto e poi rimborsato."

Cosa rende questo attacco pericoloso

1. I dettagli della prenotazione erano corretti: nome hotel, date, importo, persino la chat.
2. Il dominio sembrava legittimo, ma era un sottodominio costruito ad arte (es. booking.confirmation xxx .com).
3. L’utente ha ricevuto la mail subito dopo la prenotazione, aumentando la credibilità.
4. Il mittente sembrava Booking.com o l’hotel, ma in realtà era falsificato (spoofing o accesso abusivo tramite l'account dell'hotel compromesso).

Come difendersi

Buona pratica:

Passare il mouse sui link prima di cliccare

Controlla sempre il dominio reale. Booking.com usa solo:

• https://www.booking.com
• https://secure.booking.com

I falsi domini spesso nascondono sottodomini lunghi, truffaldini o contenenti parole simili (booking-confirmation, booking.verify-secure ecc.).

Non fidarti delle urgenze

Qualsiasi mail che ti mette fretta (“verifica entro 6 ore”, “la tua prenotazione sarà cancellata”) è sospetta per definizione.

Verifica direttamente dalla piattaforma

Apri Booking.com dal browser (non dai link ricevuti) e accedi al tuo account: se c’è un problema reale, sarà indicato lì.

 

Non inserire mai i dati della carta fuori da siti verificati

Un sito sicuro non ti chiederà di "verificare" la carta con addebito/rimborso se hai già pagato o fornito garanzie.

Attiva l’autenticazione a due fattori (2FA)

Se sei un host/hotel su Booking, proteggi il tuo account: ci sono stati casi documentati di compromissione di account host, usati poi per mandare messaggi di phishing agli ospiti.

⚌

Analisi tecnica:

Ho esaminato il codice sorgente di uno dei siti clone che imitano Booking.com, inclusi la pagina HTML e i file JavaScript collegati. Dai file analizzati non emergono tecniche di keylogging o di invio automatico dei dati digitati. I file JavaScript presenti si occupano esclusivamente della validazione dei campi inseriti (come email, numero di telefono, dati della carta), applicando classi CSS per evidenziare errori o conferme, ma non contengono alcun meccanismo per trasmettere le informazioni inserite in tempo reale o senza il consenso esplicito dell’utente. Non risultano presenti chiamate di rete automatizzate, fetch, XMLHttpRequest, WebSocket, né tecniche di esfiltrazione dei dati silenziosa.

Il form HTML usato per raccogliere i dati invia effettivamente le informazioni a un endpoint (presumibilmente controllato dai truffatori), ma solo al momento dell’invio esplicito da parte dell’utente tramite pulsante. Questo significa che se la vittima si limita a digitare i dati nei campi senza mai premere su “Continua”, “Conferma” o simili, nessuna informazione viene trasmessa al server remoto. In sintesi, la truffa è efficace solo se l’utente conferma attivamente i dati, e non sfrutta tecniche più sofisticate come il tracciamento silente della digitazione.

⚌

Questo tipo di phishing è un esempio di "spear phishing contestuale", cioè un attacco mirato e credibile basato su azioni reali appena compiute dall’utente (come prenotare un hotel). La sofisticazione è cresciuta: non bastano più le regole base del tipo "guarda se c'è l’HTTPS". L’unica difesa vera è la consapevolezza e l’abitudine a verificare ogni dettaglio. Scrivo questo articolo perché credo che ognuno di noi possa cadere in trappole del genere se non è ben allenato.

ps - Ho trovato su Reddit una segnalazione identica a quanto successo a mio fratello. Il post descrive esattamente lo stesso tipo di truffa via phishing che si presenta come una comunicazione ufficiale di Booking: https://www.reddit.com/r/travel/comments/163icx6/urgent_warning_phishing_through_bookingcoms/ (eng)

---  Contattare sia l’hotel che Booking via email --- (esempi)

Dear **HOTEL*** team,

I am contacting you because I have repeatedly received phishing emails over the past few weeks from someone impersonating your property, regarding a reservation I made through Booking.com. These emails contained accurate and detailed information about my stay — including dates, times, total price, and even my full name.

This clearly suggests that an attacker has access to confidential booking data, most likely through unauthorized access to your Booking.com extranet account, or possibly through a security breach.

I kindly urge you to:

Check the security of your Booking.com account

Contact Booking.com support immediately to report the situation

Review your internal systems to ensure there hasn’t been a data breach on your side

It is unacceptable that someone can send such precise and convincing phishing emails using your name and booking details. This puts your guests at serious risk and damages your reputation.

Please take this matter seriously. I would appreciate a reply once you've looked into it.

Best regards,

----

Dear Booking.com Support,

I am writing to report a serious and ongoing security issue regarding one of my recent reservations made through your platform.

Over the past few weeks, I have repeatedly received phishing emails from someone pretending to be the **HOTEL**. What’s extremely concerning is that these emails contain precise details of my reservation, including:

My full name

Check-in and check-out dates

Price of the reservation

Hotel name and address

This strongly indicates that the attacker has access to internal booking data — likely via a compromised extranet account of the property or a data leak.

I urge you to:

Investigate whether the hotel’s Booking.com account has been compromised

Take appropriate security actions to protect customer data

Inform me of any findings or measures taken to address this issue

It is unacceptable that this kind of sensitive information is being used in phishing attempts, putting guests like myself at risk of financial fraud.

Please treat this matter as urgent and provide a response as soon as possible.

Best regards,