La stagione estiva non è ancora conclusa e dai portali specializzati in sicurezza emergono alcune notizie piuttosto preoccupanti legate alla salvaguardia dei dati dei clienti di alberghi del nostro paese. Sembrerebbe infatti che nelle scorse settimane sia esploso un caso di perdita ingente di dati a seguito di attacchi mirati alle strutture ricettive italiane, durante il quale i malintenzionati sono riusciti anche a sottrarre informazioni anche piuttosto importanti a ignari clienti.
Andando per gradi, la prima avvisaglia di questi attacchi è emersa intorno al 6 agosto scorso, quando il CERT di AgID ha segnalato che in alcuni siti specializzati del dark web alcuni hacker avevano messo in vendita illegalmente le scansioni dei documenti d’identità dei clienti di alberghi italiani. Tra essi, sono state rinvenute carte d’identità e passaporti così come altri tipo di documento utilizzati per effettuare i check-in nelle suddette strutture. Il furto sembra essere avvenuto nei primissimi mesi dell’estate ancora in corso e riguarda parecchie migliaia di copie in alta qualità ed a colori, ma inizialmente era stata data la notizia di un data breach riguardante solo tre hotel. Nei giorni successivi, grazie agli aggiornamenti degli esperti AgID il numero di strutture coinvolte ha iniziato a salire, aumentando di 17.000 unità in data 8 agosto con una sola struttura che si era aggiunta alla lista di quelle violate. Si è passati poi ad altri 70.000 documenti pubblicati nella prima settimana di agosto, con un aumento di altri 6 alberghi. Pochi altri giorni ed altri 3.600 documenti sono entrati a far parte di quelli in vendita ma con altri due hotel coinvolti.
Dopo questo aggiornamento è arrivata però anche la primissima rivendicazione dell’attacco, avvenuto per mano del gruppo hacker chiamato mydocs, già da tempo sotto l’attenzione delle forze dell’ordine, che nei giorni appena precedenti a ferragosto ha aggiunto altri 9.300 documenti alla già lunga lista di quelli sottratti. Al momento non ci sono stati altri aggiornamenti ed altre pubblicazioni di file riguardanti documenti scansionati, ma appare chiaro come il danno sia di dimensioni ragguardevoli, visto che con una decina di strutture alberghiere gli hacker sono stati in grado di rubare circa 100.000 diverse carte d’identità, passaporti e quant’altro.
Se ancora non fosse chiaro quali sono i rischi che si corrono a seguito di un attacco simile, è sufficiente pensare che un hacker che prende possesso, per esempio, della propria carta d’identità ha davanti a sé una serie di truffe che può commettere. In primis, può utilizzare la nostra identità per creare documenti fasulli o contraffatti, oppure può effettuare operazioni bancarie fraudolente come aprire un conto a nostro nome. Può poi portare avanti strategie di spamming sfruttando il nostro nome per colpire persone della nostra cerchia più ristretta o, infine, può creare false identità digitali o rubare direttamente la nostra. Questo genere di pericolo è sensibilmente aumentato durante il 2025 e già qualche mese fa ne abbiamo parlato quando trattammo della truffa a nome INPS che mise nel mirino gli stessi utenti italiani.
Adesso è come sempre il tempo di fare qualche riflessione, in primis sugli alberghi che come vediamo dovranno fare maggiore attenzione al trattamento dei dati ed alla conservazione dei documenti dei loro clienti, utilizzando soluzioni sicure e che proteggano in primis anche sé stessi. Un accesso non autorizzato ai propri gestionali o ai sistemi di prenotazione può avere impatti devastanti, questa ne è la riprova e nei prossimi mesi probabilmente avremo novità in merito da parte di associazioni di consumatori indignate che si presenteranno a chiedere il conto di queste violazioni. In secondo luogo però ci sono anche i cittadini stessi, che devono sicuramente imparare a proteggere la loro identità, digitale e non, magari osservando periodicamente le attività ad essi attribuite (banalmente operazioni bancarie, richieste di carte, ecc…) e non inviando mai le copie dei loro documenti tramite canali poco raccomandabili. A cercare di porre rimedio, ad ogni modo, ci sono le forze dell’ordine alle quali è sempre necessario inviare tutte le segnalazioni del caso quando si ritiene di aver subito, o si è subito sicuramente, un reato digitale come il furto d’identità.
