Optimamente Una prenotazione alberghiera regolarmente effettuata, un messaggio che segnala un problema con il pagamento e la richiesta di confermare nuovamente i dati della carta per evitare la cancellazione del soggiorno. È la sequenza descritta da Altroconsumo nell’allerta pubblicata il 26 ottobre 2026 sulle frodi ai danni degli utenti di Booking.com. Le comunicazioni possono contenere informazioni precise sulla struttura scelta e sulle date del viaggio, rendendo difficile distinguere un avviso autentico da un tentativo di sottrazione di denaro.
Secondo le segnalazioni raccolte dall’associazione dei consumatori, alcune vittime hanno perso oltre 1.500 euro dopo essere state indirizzate verso pagine contraffatte che riproducevano l’aspetto della piattaforma originale. Il pagamento richiesto dai truffatori non regolarizza la prenotazione e il denaro finisce nelle mani di soggetti estranei alla transazione.
La vicenda ha assunto anche una dimensione istituzionale. Altroconsumo ed Euroconsumers avevano già presentato nel 2025 una segnalazione all’autorità olandese per la protezione dei dati personali. Nell’ottobre 2026 l’associazione ha inoltre richiamato l’attenzione sull’apertura di un’indagine formale della Commissione europea nei confronti di Booking.com nell’ambito del Digital Services Act, con riferimento anche ai rischi legati agli annunci fraudolenti e al phishing.
Come funziona la frode dopo una prenotazione autentica
La caratteristica più insidiosa della truffa del sito clone nelle prenotazioni online riguarda il momento in cui viene avviato il contatto fraudolento. Il consumatore ha già scelto una struttura ricettiva, completato la procedura di prenotazione e ricevuto una conferma. Non sta cercando una nuova offerta e non ha necessariamente visitato siti sconosciuti.
Il messaggio arriva successivamente, attraverso posta elettronica, SMS oppure WhatsApp. Segnala un presunto problema con la carta, un pagamento non andato a buon fine o una verifica indispensabile per mantenere valida la prenotazione.
Il riferimento a un soggiorno effettivamente acquistato rende la comunicazione plausibile. Il destinatario può riconoscere il nome dell’albergo, il periodo di permanenza e altri dettagli personali. Proprio questa corrispondenza con informazioni reali costituisce uno degli elementi che distinguono il raggiro dalle comuni campagne di phishing inviate indiscriminatamente.
Altroconsumo descrive anche casi nei quali il medesimo avviso viene trasmesso attraverso canali differenti. Un’e-mail può essere accompagnata da un messaggio WhatsApp che ripete la richiesta e introduce una scadenza di 24 ore, oltre la quale la prenotazione verrebbe cancellata.
L’obiettivo è ottenere una reazione immediata. Il consumatore teme di perdere la camera, soprattutto quando il viaggio è vicino oppure quando la disponibilità di alloggi alternativi è limitata.
Il collegamento presente nel messaggio conduce a una pagina che imita il sito della piattaforma. Loghi, colori, impostazione grafica e riferimenti alla prenotazione contribuiscono a creare un’apparenza di autenticità. Il visitatore viene quindi invitato a inserire nuovamente i dati della carta o ad autorizzare un pagamento.
La transazione effettuata sulla pagina contraffatta è separata dalla prenotazione originale. Anche quando il denaro viene addebitato, il pagamento non risulta necessariamente acquisito dalla struttura ricettiva o dalla piattaforma utilizzata per prenotare.
Il sito clone può sembrare autentico anche nell’indirizzo
Il riconoscimento di una pagina fraudolenta non può basarsi esclusivamente sull’aspetto grafico. Un sito imitativo può riprodurre con notevole fedeltà l’interfaccia di un servizio conosciuto, comprese le immagini, i pulsanti e le schermate dedicate ai pagamenti.
Un elemento da esaminare è il dominio, ossia la parte dell’indirizzo web che identifica il sito visitato. I truffatori possono utilizzare denominazioni somiglianti a quelle ufficiali, introducendo parole aggiuntive, trattini oppure piccole variazioni nella scrittura.
La presenza del nome di una piattaforma all’interno di un indirizzo più lungo non dimostra che la pagina appartenga effettivamente a quella società. Anche un collegamento che contiene termini come prenotazione, verifica o pagamento può condurre a un servizio completamente estraneo.
Il simbolo del lucchetto visualizzato dal browser, quando presente, indica che la connessione utilizza un protocollo cifrato. Non certifica però l’affidabilità commerciale del sito né l’identità del soggetto che richiede il denaro. Anche una pagina realizzata per sottrarre informazioni può disporre di una connessione HTTPS.
La truffa del sito clone nelle prenotazioni online sfrutta inoltre la familiarità degli utenti con le normali procedure di verifica digitale. Confermare un account, aggiornare una carta o autorizzare una transazione sono operazioni frequenti. Il problema nasce quando una richiesta apparentemente ordinaria viene presentata al di fuori del percorso ufficiale previsto per quella prenotazione.
Un altro segnale riguarda l’invito a spostare la comunicazione su canali esterni. Un interlocutore che propone di proseguire esclusivamente tramite WhatsApp, un indirizzo e-mail privato o una pagina diversa dalla piattaforma merita particolare attenzione, soprattutto quando la richiesta riguarda denaro o credenziali personali.
Pagamenti inattesi e scadenze artificiali: i segnali da riconoscere
Una richiesta di pagamento successiva alla conferma non è automaticamente fraudolenta. Alcune strutture prevedono condizioni particolari, anticipi, saldi differiti o addebiti programmati. Le modalità possono cambiare in base alla tariffa selezionata e alle condizioni accettate al momento dell’acquisto.
La verifica decisiva consiste nel confrontare la nuova richiesta con quanto previsto dalla prenotazione originale.
Se il soggiorno risulta già pagato, una comunicazione che pretende un secondo versamento immediato presenta un’evidente anomalia. Se invece è previsto un pagamento successivo, occorre controllare importo, scadenza, beneficiario e modalità indicate nella conferma.
Booking.com, nelle proprie indicazioni sulla sicurezza dei viaggiatori, precisa che non richiede la comunicazione dei dati della carta attraverso e-mail, telefonate, SMS o WhatsApp. La piattaforma invita inoltre a diffidare dei bonifici che non corrispondono alle condizioni di pagamento riportate nella prenotazione.
Le urgenze artificiali costituiscono un ulteriore elemento ricorrente. La minaccia di cancellare una camera entro poche ore spinge a completare l’operazione senza consultare la documentazione ricevuta in precedenza.
Nelle segnalazioni esaminate da Altroconsumo, il limite delle 24 ore viene utilizzato proprio per rafforzare questa pressione.
La truffa del sito clone nelle prenotazioni online può quindi essere riconosciuta osservando la combinazione di circostanze: un contatto inatteso, una richiesta economica non coerente con gli accordi, un collegamento esterno e una scadenza particolarmente ravvicinata.
Nessuno di questi elementi, considerato isolatamente, consente sempre di stabilire che una comunicazione sia falsa. La loro presenza contemporanea giustifica però l’interruzione della procedura e una verifica indipendente.
Come controllare una richiesta senza utilizzare il collegamento ricevuto
La verifica più affidabile consiste nel recuperare autonomamente la prenotazione attraverso l’applicazione ufficiale oppure digitando direttamente nel browser l’indirizzo della piattaforma già conosciuta.
Una volta effettuato l’accesso, è possibile controllare lo stato del soggiorno, le condizioni economiche e le eventuali comunicazioni disponibili nell’area riservata.
Questo passaggio evita di affidarsi al collegamento contenuto nel messaggio sospetto, che potrebbe condurre proprio alla pagina predisposta dai truffatori.
Occorre poi confrontare le informazioni riportate nella richiesta con la conferma originale. Una prenotazione che risulta valida, senza avvisi di pagamento aggiuntivi, rende necessario approfondire qualsiasi sollecito ricevuto separatamente.
Anche il contatto diretto con la struttura può essere utile, purché il numero telefonico venga recuperato da una fonte indipendente e attendibile. Non è prudente utilizzare automaticamente i recapiti inseriti nell’e-mail sospetta, perché potrebbero appartenere agli stessi autori della frode.
Il servizio clienti della piattaforma rappresenta un ulteriore canale di controllo. Booking.com invita espressamente gli utenti a rivolgersi alla propria assistenza quando ricevono comunicazioni dubbie relative ai pagamenti.
Una precauzione riguarda anche i messaggi che sembrano provenire da interlocutori già conosciuti. La presenza di informazioni autentiche non dimostra che il mittente sia autorizzato a utilizzarle. Le circostanze che hanno consentito ai truffatori di conoscere i dettagli di una prenotazione possono essere diverse e richiedono accertamenti specifici.
Il controllo indipendente rimane quindi necessario anche quando il contenuto della comunicazione appare accurato e personalizzato.
Cosa fare quando i dati della carta sono già stati inseriti
La rapidità dell’intervento può incidere sulle possibilità di contenere il danno economico.
Quando una persona si accorge di aver comunicato i dati della carta su una pagina fraudolenta, il primo passaggio consiste nel contattare immediatamente la banca o l’emittente attraverso i canali ufficiali, chiedendo il blocco dello strumento di pagamento e la verifica delle operazioni effettuate.
È opportuno controllare anche gli addebiti successivi, perché l’esposizione dei dati può comportare ulteriori tentativi di utilizzo non autorizzato.
Se sono state inserite credenziali di accesso, occorre modificare la password del servizio interessato e di eventuali altri account nei quali sia stata riutilizzata. L’attivazione dell’autenticazione a due fattori aggiunge una protezione contro gli accessi abusivi, pur non eliminando ogni rischio di frode.
La truffa del sito clone nelle prenotazioni online richiede particolare attenzione anche alla documentazione. Messaggi ricevuti, ricevute di pagamento, schermate della pagina sospetta e comunicazioni con l’assistenza possono contribuire a ricostruire l’accaduto.
Altroconsumo raccomanda di presentare un reclamo scritto alla banca o all’istituto di pagamento e di denunciare i fatti alle autorità competenti.
La possibilità di recuperare il denaro dipende tuttavia dalle circostanze. La normativa sui servizi di pagamento prevede tutele per le operazioni non autorizzate, ma occorre distinguere queste ultime dai casi nei quali il cliente abbia materialmente disposto o autenticato un pagamento sulla base di informazioni ingannevoli.
La qualificazione dell’operazione, le modalità di autenticazione e le responsabilità dei soggetti coinvolti possono incidere sull’esito della contestazione. Non esiste quindi un rimborso automatico garantito per qualsiasi pagamento effettuato in seguito a un messaggio fraudolento.
Nel caso di un bonifico, soprattutto se istantaneo, è necessario avvisare subito la banca per verificare se sia ancora possibile intervenire sul trasferimento o richiedere un tentativo di recupero dei fondi. Le possibilità concrete dipendono dallo stato dell’operazione e dalla collaborazione degli intermediari interessati.
La denuncia può essere presentata alla Polizia Postale o agli altri uffici delle forze dell’ordine competenti, fornendo la documentazione disponibile.
Le responsabilità delle piattaforme e l’attenzione delle autorità europee
La diffusione di messaggi che contengono dettagli autentici delle prenotazioni solleva interrogativi sulla protezione delle informazioni personali e sulla sicurezza dei servizi digitali.
Nel 2025 Altroconsumo ed Euroconsumers hanno segnalato il fenomeno all’autorità olandese competente in materia di privacy, chiedendo accertamenti sulle misure adottate per proteggere i dati degli utenti e sulle possibili responsabilità connesse alle frodi.
L’associazione ritiene che la disponibilità di informazioni precise sui soggiorni rappresenti un elemento particolarmente preoccupante. La conoscenza di tali dati da parte dei truffatori non permette però, da sola, di identificare con certezza il sistema eventualmente compromesso o il punto dal quale siano state ottenute le informazioni.
Le responsabilità devono essere ricostruite attraverso verifiche tecniche e giuridiche.
Il tema coinvolge anche il Digital Services Act, il regolamento europeo che impone obblighi specifici alle piattaforme digitali, con prescrizioni più rigorose per quelle designate come molto grandi.
Nell’approfondimento del 26 ottobre 2026, Altroconsumo riferisce dell’indagine formale della Commissione europea su Booking.com, relativa anche alla gestione dei rischi di phishing, agli annunci fraudolenti e ad alcuni obblighi di trasparenza.
L’apertura di un procedimento non equivale all’accertamento di una violazione. Le contestazioni devono essere esaminate nell’ambito dell’istruttoria, distinguendo le ipotesi sottoposte a verifica dalle eventuali responsabilità definitivamente riconosciute.
La questione riguarda comunque un aspetto concreto della tutela dei consumatori: la sicurezza della prenotazione non termina quando viene emessa la conferma. Le comunicazioni successive possono diventare parte del percorso attraverso il quale un utente viene indotto a effettuare ulteriori operazioni economiche.
Reclami, prove e tutela della prenotazione originale
Dopo un tentativo di frode, la gestione del soggiorno rimane una questione distinta dal recupero del denaro.
Un pagamento effettuato su un sito contraffatto potrebbe non modificare lo stato della prenotazione autentica. Il consumatore rischia quindi di aver subito una perdita economica senza aver soddisfatto gli eventuali obblighi di pagamento ancora previsti nei confronti della struttura.
Prima di procedere a ulteriori versamenti è necessario chiarire, attraverso i canali ufficiali, se la prenotazione sia ancora valida, quali somme risultino effettivamente incassate e se vi siano importi legittimamente dovuti.
Una contestazione scritta alla piattaforma può servire a documentare il problema e a chiedere accertamenti sulla provenienza delle comunicazioni. Altroconsumo invita inoltre i consumatori coinvolti a presentare reclami formali, indicando la struttura prenotata, le caratteristiche del raggiro e l’importo sottratto.
La conservazione delle prove assume particolare rilievo quando il messaggio fraudolento contiene dati che coincidono con quelli del soggiorno reale. La cronologia delle comunicazioni può aiutare a individuare il momento in cui è stata avanzata la richiesta sospetta e a distinguere le operazioni legittime da quelle successive.
La truffa del sito clone nelle prenotazioni online presenta infatti una difficoltà specifica rispetto ad altre frodi digitali: il consumatore deve proteggere contemporaneamente il proprio denaro, le informazioni personali e una prenotazione che potrebbe essere ancora perfettamente valida.
Una richiesta inattesa di conferma o di pagamento deve pertanto essere verificata senza utilizzare il percorso suggerito dal mittente. La corrispondenza tra i dati contenuti nel messaggio e quelli del viaggio non costituisce una prova sufficiente di autenticità.
Nel caso di un soggiorno già confermato, il riferimento determinante rimane la documentazione contrattuale originale, insieme allo stato della prenotazione consultabile attraverso i canali ufficiali. È da queste informazioni che deve partire qualsiasi decisione su un eventuale nuovo pagamento.
