Attenzione al phishing via Booking.com , un caso reale e subdolo

Di recente, mio fratello mi ha raccontato un'esperienza che merita la massima attenzione. Dopo aver prenotato un hotel tramite Booking.com, ha ricevuto una mail dall’aspetto legittimo con oggetto simile a:

"Your reservation is at risk of cancellation"

Nel corpo del messaggio, un tono urgente:

Hi,

There's a page ready for you to visit now.

www. xxxxxxxxxx . xxx <- sito truffa

Please review it in the next 6 hours.

Otherwise, your progress may be affected.

Quasi in contemporanea, è arrivato un altro messaggio via "chat di Booking" (mail) , apparentemente dallo stesso hotel prenotato. Stesso contenuto, stesso link.

Il phishing camuffato da "verifica prenotazione"

Il sito di destinazione era una pagina clonata alla perfezione:

• Al primo step chiedeva i dati personali.
• Al secondo step, come prevedibile, chiedeva i dati della carta di credito, con la solita formula

"Per motivi di sicurezza, l'importo verrà solo temporaneamente trattenuto e poi rimborsato."

Cosa rende questo attacco pericoloso

1. I dettagli della prenotazione erano corretti: nome hotel, date, importo, persino la chat.
2. Il dominio sembrava legittimo, ma era un sottodominio costruito ad arte (es. booking.confirmation xxx .com).
3. L’utente ha ricevuto la mail subito dopo la prenotazione, aumentando la credibilità.
4. Il mittente sembrava Booking.com o l’hotel, ma in realtà era falsificato (spoofing o accesso abusivo tramite l'account dell'hotel compromesso).

Come difendersi

Buona pratica:

Passare il mouse sui link prima di cliccare

Controlla sempre il dominio reale. Booking.com usa solo:

• https://www.booking.com
• https://secure.booking.com

I falsi domini spesso nascondono sottodomini lunghi, truffaldini o contenenti parole simili (booking-confirmation, booking.verify-secure ecc.).

Non fidarti delle urgenze

Qualsiasi mail che ti mette fretta (“verifica entro 6 ore”, “la tua prenotazione sarà cancellata”) è sospetta per definizione.

Verifica direttamente dalla piattaforma

Apri Booking.com dal browser (non dai link ricevuti) e accedi al tuo account: se c’è un problema reale, sarà indicato lì.

 

Non inserire mai i dati della carta fuori da siti verificati

Un sito sicuro non ti chiederà di "verificare" la carta con addebito/rimborso se hai già pagato o fornito garanzie.

Attiva l’autenticazione a due fattori (2FA)

Se sei un host/hotel su Booking, proteggi il tuo account: ci sono stati casi documentati di compromissione di account host, usati poi per mandare messaggi di phishing agli ospiti.

⚌

Analisi tecnica:

Ho esaminato il codice sorgente di uno dei siti clone che imitano Booking.com, inclusi la pagina HTML e i file JavaScript collegati. Dai file analizzati non emergono tecniche di keylogging o di invio automatico dei dati digitati. I file JavaScript presenti si occupano esclusivamente della validazione dei campi inseriti (come email, numero di telefono, dati della carta), applicando classi CSS per evidenziare errori o conferme, ma non contengono alcun meccanismo per trasmettere le informazioni inserite in tempo reale o senza il consenso esplicito dell’utente. Non risultano presenti chiamate di rete automatizzate, fetch, XMLHttpRequest, WebSocket, né tecniche di esfiltrazione dei dati silenziosa.

Il form HTML usato per raccogliere i dati invia effettivamente le informazioni a un endpoint (presumibilmente controllato dai truffatori), ma solo al momento dell’invio esplicito da parte dell’utente tramite pulsante. Questo significa che se la vittima si limita a digitare i dati nei campi senza mai premere su “Continua”, “Conferma” o simili, nessuna informazione viene trasmessa al server remoto. In sintesi, la truffa è efficace solo se l’utente conferma attivamente i dati, e non sfrutta tecniche più sofisticate come il tracciamento silente della digitazione.

⚌

Questo tipo di phishing è un esempio di "spear phishing contestuale", cioè un attacco mirato e credibile basato su azioni reali appena compiute dall’utente (come prenotare un hotel). La sofisticazione è cresciuta: non bastano più le regole base del tipo "guarda se c'è l’HTTPS". L’unica difesa vera è la consapevolezza e l’abitudine a verificare ogni dettaglio. Scrivo questo articolo perché credo che ognuno di noi possa cadere in trappole del genere se non è ben allenato.

ps - Ho trovato su Reddit una segnalazione identica a quanto successo a mio fratello. Il post descrive esattamente lo stesso tipo di truffa via phishing che si presenta come una comunicazione ufficiale di Booking: https://www.reddit.com/r/travel/comments/163icx6/urgent_warning_phishing_through_bookingcoms/ (eng)