Contesto normativo e motivazioni dell’indagine

Il Digital Services Act (DSA) è il nuovo quadro legislativo dell’Unione europea che impone a piattaforme di intermediazione online obblighi stringenti in materia di trasparenza, gestione dei contenuti illeciti e protezione dei consumatori. Booking.com, leader globale nella prenotazione di alloggi, è soggetto a questi obblighi in quanto “Very Large Online Platform” (VLOP), con più di 45 milioni di utenti attivi mensili nell’UE.

Nel 2024 la Commissione ha ricevuto numerose segnalazioni da parte di consumatori, autorità nazionali e associazioni di categoria che denunciavano:

    • annunci di strutture inesistenti o falsi;
    • e‑mail di phishing che riproducevano fedelmente le conferme di prenotazione;
    • pubblicità sponsorizzate non chiaramente distinguibili da risultati organici.

Queste pratiche, se non adeguatamente contrastate, violano i principi di “dovuta diligenza” e “trasparenza” richiesti dal DSA, esponendo gli utenti a rischi finanziari e di sicurezza dei dati.

Meccanismi di phishing e truffe legate alle prenotazioni

Il phishing su piattaforme di viaggio sfrutta la fiducia dell’utente nella comunicazione ufficiale di Booking.com. Gli attaccanti accedono a banche dati sottili, come le informazioni di contatto fornite al momento della prenotazione, e inviano messaggi che includono:

    • date precise del soggiorno;
    • importo totale da pagare;
    • link che replicano l’interfaccia di pagamento di Booking.com.

Studi di cybersecurity dell’ENISA del 2023 mostrano che il 68 % delle truffe di viaggio in Europa utilizza questo tipo di “phishing contestuale”. Un caso emblematico riscontrato nel 2022 coinvolgeva una famiglia italiana che, ingannata da una falsa email, ha trasferito €3.200 a un conto fraudolento, credendo di dover completare il pagamento per una prenotazione a Parigi.

Booking.com ha introdotto nel 2021 un “Secure Checkout” con autenticazione a due fattori, ma le segnalazioni indicano che gli attacchi continuano a evolversi, sfruttando vulnerabilità nella fase di “pre‑checkout” dove l’utente riceve la conferma via e‑mail.

Come riconoscere un messaggio di phishing

Gli esperti consigliano di verificare attentamente:

    • l’indirizzo mittente: deve terminare con @booking.com;
    • la presenza di errori grammaticali o di formattazione;
    • l’URL di destinazione: passare il mouse sopra il link per vedere l’indirizzo reale;
    • richieste di pagamento fuori dal portale ufficiale.

Annunci fraudolenti e pubblicità non riconoscibile

Oltre al phishing, la Commissione ha rilevato un aumento di annunci fraudolenti che promuovono strutture inesistenti o che offrono tariffe “scontate” per attirare rapidamente i consumatori. Questi annunci appaiono spesso nella sezione “Offerte speciali” e sono sponsorizzati, ma non sono contrassegnati come tali, violando il principio di “distinzione chiara” del DSA.

Un’indagine interna di Booking.com del 2023 ha identificato circa 1.200 annunci sospetti, ma la risposta è stata giudicata “insufficiente” dalle autorità nazionali, poiché la piattaforma non ha rimosso tempestivamente tutti gli inserzionisti non verificati.

Le conseguenze per le strutture ricettive sono altrettanto gravi: un hotel legittimo può subire danni reputazionali se gli utenti associano la sua immagine a un annuncio fraudolento, portando a perdita di prenotazioni e a recensioni negative ingiustificate.

Azioni richieste dal DSA

Il DSA impone alle VLOP di:

    • implementare sistemi di verifica automatica e manuale dei contenuti;
    • fornire report periodici sulle misure di mitigazione dei rischi;
    • garantire la trasparenza delle pubblicità, indicando chiaramente chi è l’inserzionista e se il contenuto è sponsorizzato.

La Commissione valuterà se Booking.com abbia rispettato questi obblighi e se le sue policy interne siano adeguate a prevenire danni sistemici.

Impatto sull’ecosistema digitale e prospettive future

Un eventuale provvedimento sanzionatorio potrebbe avere ripercussioni su tutta l’industria delle piattaforme di viaggio. Le sanzioni previste dal DSA possono arrivare fino al 6 % del fatturato annuo mondiale dell’impresa, con la possibilità di obbligare a modificare le proprie pratiche operative.

Nel frattempo, le autorità nazionali stanno intensificando la cooperazione con le forze dell’ordine per tracciare i flussi finanziari delle truffe e chiudere i domini fraudolenti. Alcuni Paesi, come la Germania e i Paesi Bassi, hanno già avviato campagne di sensibilizzazione rivolte ai consumatori, fornendo guide pratiche per riconoscere le comunicazioni phishing.

Per le strutture ricettive, la lezione è chiara: è fondamentale mantenere un profilo verificato su Booking.com, monitorare costantemente le proprie inserzioni e collaborare attivamente con il servizio di assistenza per segnalare contenuti sospetti.

Azioni consigliate per gli utenti

Per proteggersi, gli utenti dovrebbero adottare le seguenti pratiche:

    • Utilizzare sempre il canale di pagamento interno di Booking.com;
    • Attivare l’autenticazione a due fattori sul proprio account;
    • Segnalare immediatamente qualsiasi messaggio o annuncio sospetto al servizio clienti;
    • Consultare le recensioni recenti di altri viaggiatori per verificare la credibilità della struttura.

Solo con un approccio condiviso tra piattaforma, autorità e consumatori sarà possibile ridurre significativamente il fenomeno delle truffe online nel settore dei viaggi.