Sicurezza dei dati negli affitti brevi: quanto sono protette le informazioni degli ospiti?

Oggi ogni attività di affitti brevi si regge sui dati. Un solo account di un property manager può contenere passaporti degli ospiti, numeri di telefono, riferimenti di pagamento, codici di accesso, coordinate bancarie dei proprietari e le chiavi di tutti gli annunci sulle OTA. È proprio questa concentrazione a rendere il settore così appetibile per i criminali, e il 2026 ha mostrato quanto la catena possa essere fragile. Ad aprile Booking.com ha iniziato ad avvisare gli ospiti che terzi non autorizzati avevano avuto accesso alle informazioni delle prenotazioni, tra cui nomi, indirizzi email, numeri di telefono e dettagli del soggiorno, e ha reimpostato i PIN delle prenotazioni coinvolte. I dati di pagamento custoditi sulla piattaforma non sono stati toccati, ma le informazioni esposte erano esattamente quelle che servono a un truffatore per spacciarsi in modo credibile per l’host.

Questa analisi attraversa ogni livello dell’ecosistema, dalle extranet delle OTA alle serrature smart, per rispondere a una domanda: quanto sono al sicuro oggi i dati di un property manager e quali misure riducono davvero il rischio?

Perché i property manager sono un bersaglio privilegiato

Il mondo degli affitti brevi si basa su molti strumenti collegati tra loro: OTA, PMS, channel manager, messaggistica con gli ospiti, check-in online, sistemi di pagamento, serrature smart, app per le pulizie e software di contabilità. Ogni integrazione aggiunge un accesso in più, una chiave API in più e un fornitore in più che conserva una copia dei dati.

I dati globali sulle violazioni pubblicati nel 2026 mostrano come questa struttura venga sfruttata. Le violazioni con il coinvolgimento di una terza parte hanno raggiunto il 48%, contro il 30% dell’anno precedente. Lo sfruttamento delle vulnerabilità software ha superato il furto di credenziali come principale via d’ingresso, con il 31%, e il ransomware è comparso nel 48% dei casi.

Cosa contiene un tipico account da property manager	Perché interessa ai criminali
Documenti d’identità e dati per la registrazione degli alloggiati	Furto d’identità e rivendita sui mercati illegali
Nomi, telefoni, email e dettagli della prenotazione	Truffe di pagamento molto convincenti rivolte agli ospiti
Codici di accesso e controllo delle serrature smart	Ingresso fisico in appartamenti occupati o vuoti
Credenziali delle extranet delle OTA	Controllo di annunci, pagamenti e conversazioni con gli ospiti
Dati dei proprietari e conti bancari	Frodi con deviazione di fatture e accrediti

Minaccia 1: phishing costruito attorno al flusso delle prenotazioni

La minaccia più attiva resta il phishing mirato al personale che gestisce le prenotazioni. Dalla fine del 2024 i ricercatori di sicurezza hanno seguito ondate successive di email che si spacciano per Booking.com e raggiungono team dell’ospitalità in Europa, Nord America, Asia e Oceania. Le esche riproducono situazioni quotidiane: il reclamo di un ospite, una prenotazione last minute, una recensione negativa o un avviso di verifica dell’account.

Molte di queste campagne sfruttano una tecnica chiamata ClickFix. Una pagina con un finto captcha chiede al dipendente di copiare ed eseguire un comando sul proprio computer, che installa di nascosto un malware per il furto di credenziali o uno strumento di accesso remoto. Una campagna attiva almeno da aprile a ottobre 2025 ha usato questo metodo per prendere il controllo di account extranet su Booking.com, Expedia e Airbnb. Gli aggressori scrivevano poi agli ospiti reali dalla piattaforma autentica, chiedendo di confermare di nuovo la carta per evitare la cancellazione. Sessioni e password rubate vengono vendute apertamente su forum criminali e bot automatici su Telegram.

Il danno economico ricade direttamente sugli ospiti. Nel solo Regno Unito sono state registrate 532 segnalazioni di questo tipo di truffa tra giugno 2023 e settembre 2024, con perdite per circa 370.000 sterline.

Minaccia 2: pagine di accesso false per PMS e strumenti di messaggistica

Gli aggressori hanno anche salito un gradino della catena. A metà 2025 alcuni ricercatori hanno documentato un’ampia campagna che acquistava annunci sponsorizzati sui motori di ricerca imitando almeno tredici fornitori di software per hotel e affitti brevi, tra cui piattaforme di gestione delle proprietà e di messaggistica con gli ospiti. Chi cercava la consueta pagina di login cliccava su un annuncio posizionato sopra il risultato autentico, finiva su un dominio quasi identico e consegnava in tempo reale nome utente, password e codici monouso ricevuti via SMS.

Poiché la pagina falsa inoltrava il codice nel momento stesso in cui veniva digitato, l’autenticazione a due fattori via SMS offriva una protezione minima. Un account PMS compromesso dà all’aggressore prenotazioni, dati degli ospiti, flussi di pagamento e, in molti casi, la possibilità di generare i codici di accesso agli appartamenti.

Minaccia 3: violazioni dei fornitori e della catena di approvvigionamento

Un property manager può fare tutto nel modo giusto e perdere comunque dati a causa di un fornitore. Gli incidenti passati seguono uno schema preciso.

Tipo di incidente	Cosa è successo	Lezione per il property manager
Archivio cloud configurato male presso un channel manager (2020)	Oltre 10 milioni di record esposti, con nomi, numeri di documento, carte con CVV e dettagli dei soggiorni dal 2013	Chiedi ai fornitori come conservano, cifrano e cancellano i dati
Attacco a un fornitore di software alberghiero (2024)	Circa mezzo milione di account di ospiti legati a grandi catene esposti	La tua sicurezza vale quanto la tua integrazione più debole
Database aperto presso una piattaforma di prenotazioni	Centinaia di migliaia di prenotazioni accessibili pubblicamente	Conservare dati senza uno scopo è solo un rischio
Accesso ai dati delle prenotazioni di una OTA (2026)	Nomi, contatti e dettagli delle prenotazioni esposti e riutilizzati in truffe mirate	Gli ospiti devono sapere come li contatterai e come non lo farai mai

Minaccia 4: più dati raccolti e conservati più a lungo

Le normative stanno aumentando il volume di dati sensibili che gli operatori devono gestire, e ogni campo in più è qualcosa che può essere sottratto.

Giurisdizione	Obbligo	Implicazioni per la sicurezza
Spagna	Dal 2 dicembre 2024 tutte le strutture turistiche devono trasmettere i dati dei viaggiatori alla piattaforma SES.HOSPEDAJES del Ministero dell’Interno, in base al Real Decreto 933/2021	Oltre 15 dati per ospite, tra cui numero del documento e del supporto, più dati di pagamento come tipo e numero della carta o IBAN, conservati per tre anni
Italia	Il 21 novembre 2025 il Consiglio di Stato ha ripristinato l’obbligo di riconoscimento de visu degli ospiti, annullando la sentenza del TAR Lazio di maggio 2025	La verifica a distanza tramite videocollegamento in tempo reale resta possibile, spingendo verso strumenti che trattano immagini del volto
Unione Europea	Il Regolamento (UE) 2024/1028 si applica dal 20 maggio 2026, con codici di registrazione e dati di attività condivisi ogni mese dalle piattaforme con le autorità	Più dati strutturati in circolazione tra host, piattaforme e sistemi pubblici
GDPR (tutta la UE)	Le violazioni vanno notificate all’autorità entro 72 ore, con sanzioni fino a 20 milioni di euro o al 4% del fatturato globale	Notificare in ritardo è già una violazione: nel 2021 Booking.com è stata sanzionata con 475.000 euro per aver comunicato una violazione fuori tempo

Il rischio concreto è la conservazione eccessiva. Le copie dei passaporti che restano nelle email, nelle chat di WhatsApp o nelle cartelle condivise ben oltre l’obbligo di legge sono una delle esposizioni più diffuse e più evitabili del settore.

Minaccia 5: serrature smart, Wi-Fi e il livello fisico

Codici che non scadono mai, account amministratore condivisi sulle piattaforme delle serrature e reti non segmentate possono trasformare un incidente informatico in un problema fisico. Se un aggressore controlla il PMS che genera i codici di accesso, di fatto controlla la porta. Una rete Wi-Fi per gli ospiti condivisa con telecamere, serrature o il router dell’ufficio allarga ulteriormente la superficie di attacco.

Minaccia 6: frodi potenziate dall’intelligenza artificiale

L’IA generativa permette di scrivere messaggi di phishing fluidi in qualsiasi lingua e privi degli errori che un tempo li tradivano. I dati sulle violazioni mostrano che la quota di email malevole con testo generato dall’IA è circa raddoppiata in due anni. Gli stessi strumenti possono produrre documenti d’identità falsi molto credibili e video deepfake, un timore crescente ora che il check-in a distanza e in video si sta diffondendo.

Quanto sono al sicuro oggi i dati di un property manager?

Livello	Rischio attuale	Punto debole principale
Account extranet delle OTA	Alto	Malware per il furto di credenziali sui dispositivi del personale
PMS e channel manager	Alto	Phishing delle credenziali e permessi utente troppo ampi
Messaggistica con gli ospiti	Alto	Messaggi truffa inviati da canali autentici e affidabili
Check-in online e verifica dell’identità	Da medio ad alto	Immagini dei documenti e dati biometrici conservati troppo a lungo
Serrature smart e IoT	Medio	Codici fissi e accessi amministratore condivisi
Email e computer dell’ufficio	Alto	Esche ClickFix e allegati malevoli

La risposta onesta è che le grandi piattaforme sono in genere ben difese, ma l’ecosistema che le circonda no. I punti più deboli sono le persone, i dispositivi e le integrazioni che vi si collegano ogni giorno.

Il modello di sicurezza che funziona

Misura	Cosa fare	Minaccia che blocca
MFA resistente al phishing	Usa passkey o app di autenticazione, non codici SMS, su OTA, PMS, email e banca	Furto di credenziali e pagine di accesso false
Accessi dai preferiti	Non accedere mai da annunci o link nelle email; usa i segnalibri salvati o l’app ufficiale	Pubblicità malevola e domini contraffatti
Mai incollare comandi	Nessun servizio legittimo chiede al personale di eseguire comandi sul computer; limita PowerShell e i privilegi di amministratore	Malware di tipo ClickFix
Protezione dei dispositivi	Tieni aggiornati tutti i dispositivi usati per le prenotazioni, con protezione endpoint e senza navigazione personale sui computer di gestione	Infostealer e accessi remoti
Privilegi minimi	Ogni utente con il proprio accesso, limitato per proprietà e ruolo, e disattivazione immediata di chi lascia l’azienda	Abuso degli account e movimenti laterali
Verifica dei fornitori	Chiedi certificazioni ISO 27001 o SOC 2, un accordo di trattamento dati conforme al GDPR, la localizzazione dei dati, i tempi di notifica delle violazioni, il supporto SSO e MFA e chiavi API con permessi limitati	Violazioni nella catena di fornitura
Minimizzazione dei dati	Raccogli solo i campi obbligatori per legge, cancella le copie dei documenti dopo l’invio ed elimina i record alla scadenza dei termini di conservazione	Raccolta eccessiva e fughe di dati su larga scala
Igiene dei pagamenti	Non salvare mai numeri di carta nelle note del PMS, nelle email o nelle chat; usa sistemi di pagamento tokenizzati conformi a PCI DSS	Furto dei dati delle carte
Igiene delle serrature	Codici unici per ogni soggiorno che scadono al check-out, account amministratore individuali e reti separate per ospiti e dispositivi	Accessi fisici non autorizzati
Informazione agli ospiti	Specifica in ogni conferma che non chiederai mai pagamenti al di fuori dei termini concordati o tramite link in chat	Frodi di pagamento ai danni degli ospiti
Piano di risposta agli incidenti	Definisci ruoli, contatti di supporto delle OTA, reset delle password, backup testati e la procedura di notifica entro 72 ore	Ransomware ed escalation delle violazioni
Formazione continua	Brevi esercitazioni mensili con esempi reali delle esche in circolazione	Il fattore umano dietro la maggior parte delle violazioni

I punti chiave per i property manager

Priorità	Azione concreta
Considera gli accessi come la porta d’ingresso	Un MFA resistente al phishing su ogni account OTA, PMS ed email è l’intervento con l’impatto maggiore
Fai un audit dei fornitori	Mappa ogni integrazione che tocca i dati degli ospiti e chiedi prove dei relativi controlli di sicurezza
Conserva meno dati	Elimina documenti d’identità e dati di pagamento non appena gli obblighi di legge lo consentono
Preparati al giorno in cui succederà	Un piano di risposta scritto trasforma una crisi in una procedura e ti mantiene nei tempi previsti dal GDPR