Booking.com, esposti i dati personali degli utenti e le comunicazioni con gli hotel
La nota piattaforma di prenotazioni online Booking.com al centro di un nuovo episodio legato alla sicurezza dei dati, dopo che è emerso un accesso non autorizzato alle informazioni associate ad alcune prenotazioni.
Nomi, contatti, date di soggiorno e comunicazioni con le strutture sono infatti stati esposti e, di conseguenza, sono diventati un insieme di informazioni facilmente utilizzabile per costruire messaggi truffa, capaci di replicare richieste plausibili e inserirsi in conversazioni già avviate con hotel o host, aumentando il rischio di contatti fraudolenti difficili da distinguere da quelli autentici.
Una serie di attività anomale, individuate dalla stessa Booking, sono al centro della vicenda. In sostanza, i tecnici della grande azienda di prenotazioni si sono accorti di accessi non autorizzati a una parte delle informazioni utilizzate per organizzare i soggiorni e gestire le comunicazioni tra utenti e strutture ricettive.
L’accesso ha riguardato dati anagrafici e di contatto, insieme ai dettagli delle prenotazioni e ai messaggi scambiati con hotel o host, tutte informazioni che sono archiviate nei sistemi di gestione delle prenotazioni, utilizzate per coordinare check-in, richieste specifiche e assistenza durante il soggiorno.
Stando a quanto riporta The Guardian, i dati di pagamento non sarebbero stati coinvolti, ma non è stato reso noto il numero complessivo di account interessati né il punto preciso di ingresso utilizzato per l’attacco hacker.
Dopo la rilevazione dell’attività anomala sono state attivate procedure di contenimento che includono la revisione delle credenziali di accesso, l’aggiornamento dei codici di sicurezza associati alle prenotazioni e il rafforzamento dei controlli sui sistemi interessati. Parallelamente sono state avviate verifiche tecniche per ricostruire la sequenza degli accessi, delimitare l’estensione dell’esposizione e prevenire utilizzi impropri delle informazioni sottratte.
In passato Booking aveva già subìto un'intrusione ai dati dei propri clienti, ed era stata anche sanzionata per aver notificato tardivamente il data breach all'autorità, ma stavolta ha confermato di aver notificato gli utenti potenzialmente coinvolti, informandoli della possibilità che soggetti non autorizzati abbiano avuto accesso ai dati associati alle loro prenotazioni.
Resta però aperta la fase di analisi tecnica: l’azienda ha dichiarato di aver contenuto l’evento e di aver rafforzato le misure di sicurezza, mentre l’attenzione si concentra ora sul monitoraggio di eventuali utilizzi dei dati già esposti.
È infatti facile immaginare come dati così dettagliati espongano gli utenti a rischi diretti, soprattutto sul piano economico e della sicurezza digitale. Un contatto costruito su informazioni reali può, infatti, portare a vere e proprie truffe, a imbrogli e raggiri, che possono muoversi su molti piani differenti.
Si va dai pagamenti verso conti non autorizzati alla condivisione di ulteriori credenziali o all’accesso a pagine contraffatte che replicano quelle ufficiali, con conseguente sottrazione di dati sensibili. A questo si aggiunge la possibilità di utilizzi a catena: una volta ottenute nuove informazioni o accessi, gli attaccanti possono tentare di entrare in altri account collegati alla stessa email, amplificando l’impatto dell’episodio. Il rischio non si esaurisce quindi nel singolo contatto, ma può estendersi ad altri servizi e generare conseguenze più ampie nel tempo.
Fonte: The Guardian
