La risposta alla campagna di phishing contro hotel e ospiti non può essere un’altra e-mail d’emergenza. Serve una cabina di regia guidata da un advisor senior: audit della filiera e dei rischi, mappa degli stakeholder, messaggi verificabili, raccordo con autorità e piattaforme, competenze legali, regolamentari, digitali e media. È la soluzione per trasformare reazioni frammentate in strategia. La tecnologia contiene l’attacco; la governance salva la fiducia.
Secondo le comunicazioni inviate dalle aziende di software gestionale all-in-one, progettate per semplificare la gestione di hotel indipendenti, B&B, affittacamere e case vacanza, alle strutture ricettive, terzi non autorizzati hanno avuto accesso a dati di prenotazione collegati all’integrazione Chekin. Migliaia di strutture ricettive hanno segnalato messaggi fraudolenti; molti avevano attivato l’integrazione. Nome, telefono, e-mail, date, struttura e, per chi ha completato il check-in online, dati del documento d’identità: informazioni autentiche usate per costruire messaggi WhatsApp quasi indistinguibili da quelli reali. Non risultano accessi alle carte, ma il link può indurre le vittime a consegnare i dati di pagamento.
Smettiamola di chiamarla soltanto “disattenzione dell’utente”. Se il criminale conosce già prenotazione e soggiorno, il punto debole non è chi riceve il messaggio: è la fiducia sottratta lungo la filiera.
Le aziende dei software gestionali per le strutture ricettive affermano di non aver rilevato fuoriuscite dai propri sistemi e indicano nell’integrazione con Chekin il punto da chiarire. Nel frattempo, stanno indagando ed informando le autorità dei vari Stati coinvolti. Le responsabilità vanno accertate senza processi sommari. Ma per l’ospite la filiera non esiste: esiste la struttura ricettiva alla quale ha consegnato i dati.
La cybersecurity non può restare confinata all’ufficio tecnico. È governo del rischio, reputazione e relazione con cittadini e istituzioni. Il GDPR impone di documentare la violazione, valutare la notifica al Garante entro 72 ore e informare gli interessati quando il rischio è elevato. Adempiere non basta: occorre coordinare le risposte e prevenire il prossimo attacco.
Il settore alberghiero deve scegliere: considerare la sicurezza dei dati un costo oppure parte dell’ospitalità. Chi esternalizza un servizio non esternalizza la responsabilità. Proteggere un ospite non comincia alla reception. Comincia quando il suo nome entra nel sistema.
di Rosangela Cesareo, responsabile relazioni istituzionali Fondazione Aidr
