Annunci di strutture che non esistono, account di albergatori violati, inserzioni a pagamento che somigliano a risultati naturali. Il procedimento formale aperto a Bruxelles il 21 ottobre riguarda il canale su cui passa la quota più alta delle prenotazioni intermediate in Europa, e tocca da vicino chi gestisce un albergo in Italia.

Truffe prenotazioni hotel, annunci fraudolenti e campagne di phishing: su questi tre fronti la Commissione europea ha aperto il 21 ottobre un procedimento formale nei confronti di Booking.com, ai sensi del Digital Services Act. Non si discute di tariffe né di parity rate, i temi su cui la piattaforma è stata storicamente osservata anche in Italia. Si discute della sicurezza del marketplace: quanto bene Booking.com valuta e contiene il rischio che il suo sistema di prenotazione venga usato per frodare ospiti e strutture. Per un albergatore la differenza è concreta, perché l’anello che i truffatori attaccano più spesso è proprio l’account dell’hotel.

Truffe prenotazioni hotel: i tre fronti dell’indagine

Il procedimento si muove su tre binari distinti. Il primo riguarda gli annunci fraudolenti o non conformi, cioè strutture inesistenti oppure messe in vendita da chi non ne ha la disponibilità. Il secondo riguarda phishing, smishing e ingegneria sociale che sfruttano i dati di prenotazione e i dati degli ospiti, insieme alla protezione dei dati di consumatori e partner commerciali. Il terzo riguarda la trasparenza pubblicitaria: Bruxelles vuole capire se un utente riesca a distinguere un risultato organico da un annuncio a pagamento, in particolare quando un fornitore paga per salire nei risultati di ricerca.

Booking.com rientra nel perimetro del Digital Services Act come piattaforma online di dimensioni molto grandi, con oltre 45 milioni di utenti mensili nell’Unione europea. È la soglia che impone obblighi rafforzati di valutazione e mitigazione dei rischi sistemici. L’apertura di un procedimento formale non anticipa l’esito: significa che la Commissione ritiene di avere elementi sufficienti per entrare nel merito.

Perché Bruxelles contesta la valutazione del rischio

Il punto non è il singolo annuncio rimosso, è il metodo. Il regolamento chiede alle grandi piattaforme di individuare in anticipo i rischi sistemici del proprio servizio e di adottare misure proporzionate. La Commissione ritiene che su questo Booking.com sia rimasta sotto lo standard atteso e che le misure adottate finora contro le truffe prenotazioni hotel non siano adeguate alla dimensione del fenomeno. Tra gli interventi indicati come necessari compaiono il contrasto all’abuso del sistema di prenotazione, la rimozione rapida degli annunci segnalati come fraudolenti, la verifica delle licenze delle strutture e una revisione del processo di accreditamento di chi mette in vendita un alloggio.

Le cifre aiutano a capire la scala. Booking.com ha riconosciuto nel giugno 2024 un aumento delle truffe legate ai viaggi compreso tra il 500 e il 900 per cento nei diciotto mesi precedenti. Nei Paesi Bassi, nella prima parte del 2026, le segnalazioni di frode collegate alla piattaforma hanno superato il migliaio, con danni dichiarati per 82 mila euro e una crescita di dieci volte rispetto all’anno precedente. Segnalazioni analoghe, riferisce la Commissione, sono arrivate da quasi tutti gli Stati membri.

Come arriva il phishing hotel dentro l’extranet della struttura

Lo schema che ha fatto più danni negli ultimi due anni non parte dall’ospite, parte dall’albergo. Il phishing hotel colpisce le credenziali dell’extranet: una email o un sms che imita una comunicazione della piattaforma, un link che porta a una pagina di accesso clonata, e il controllo dell’account passa di mano. Da quel momento chi attacca ha in chiaro l’elenco delle prenotazioni, i nomi, le date e i recapiti, e scrive agli ospiti dall’interno del sistema di messaggistica, con il nome dell’hotel in cima al messaggio. La richiesta è quasi sempre la stessa: un pagamento aggiuntivo, una riconferma della carta, un acconto per bloccare la camera.

Il danno per la struttura è doppio. C’è quello diretto, con l’ospite che arriva convinto di aver già pagato e una discussione alla reception che nessuno può vincere. E c’è quello reputazionale, perché la truffa è passata da un canale che l’ospite considerava affidabile e che portava il nome dell’albergo. Il phishing hotel, visto così, non è una questione informatica da delegare: è una questione di procedure di front office.

Il phishing hotel ha una caratteristica che lo rende particolarmente efficace: arriva in un momento plausibile. Il messaggio sembra una richiesta di verifica inviata in alta stagione, quando la reception lavora sotto pressione e nessuno ha il tempo di controllare l’indirizzo del mittente. Per questo le contromisure che funzionano sono procedurali prima che tecnologiche, e vanno scritte quando il lavoro è poco, non quando l’albergo è pieno. Un phishing hotel bloccato in tempo non fa notizia e non costa niente.

Quanto pesa Booking sulle prenotazioni intermediate

La rilevanza del procedimento si misura sulla concentrazione del canale. Secondo lo European Hotel Distribution Study 2026 di Hotrec, Booking.com gestisce da sola quasi il 69 per cento delle prenotazioni che passano dai portali di intermediazione in Europa e insieme a Expedia arriva a una quota dell’85,4 per cento, come abbiamo raccontato analizzando i dati della distribuzione alberghiera europea. Sul versante italiano il peso dell’online è altrettanto documentato: il 59 per cento di un mercato ricettivo da 40,7 miliardi di euro.

Hotrec, di cui Federalberghi fa parte, ha accolto favorevolmente l’apertura del procedimento e ha chiesto un’istruttoria approfondita e rapida, ricordando che gli hotel europei sono in grandissima parte piccole e medie imprese e che la fiducia nel marketplace digitale è un asset di cui rispondono anche loro, perché le truffe prenotazioni hotel colpiscono per prime le strutture piccole, quelle senza un reparto IT. Booking.com ha dichiarato piena collaborazione con la Commissione, indicando sicurezza, fiducia e protezione dei dati personali come priorità, e disponibilità a lavorare con governi e autorità contro frodi e cybercrime.

Gli annunci falsi Booking e il nodo della trasparenza

Il terzo fronte è quello che un direttore commerciale guarda con più interesse. Gli annunci falsi Booking riguardano l’integrità dell’offerta, mentre la questione delle inserzioni potenziate riguarda il modo in cui un hotel conquista visibilità. Se un posizionamento pagato non è riconoscibile come pubblicità, l’ospite attribuisce a una scelta della piattaforma quello che è un investimento del fornitore, e la struttura che non compra visibilità compete su un terreno di gioco che non le viene dichiarato. È lo stesso tema di fondo che abbiamo seguito sulla visibilità degli hotel nelle risposte generate dall’intelligenza artificiale: quando il criterio di ordinamento non è trasparente, la strategia di canale si costruisce a tentoni.

Anche per questo gli annunci falsi Booking e le inserzioni non etichettate finiscono nello stesso procedimento: per un albergatore sono due facce dello stesso problema, cioè sapere davvero come si forma la vetrina in cui la sua struttura compare.

Che cosa succede adesso al procedimento

Un procedimento formale ai sensi del Digital Services Act non ha una scadenza prefissata. La Commissione può chiedere nuove informazioni, raccogliere dati dagli Stati membri, adottare misure provvisorie se ritiene il danno grave e immediato, accettare impegni vincolanti proposti dalla piattaforma oppure arrivare a una decisione di non conformità. L’apertura, lo ha precisato Bruxelles, non pregiudica l’esito.

Nel frattempo gli obblighi di valutazione del rischio restano in capo a Booking.com, e qui sta il punto che interessa le strutture: se la piattaforma stringe sulle verifiche in fase di accreditamento, sulla sicurezza degli account e sul phishing hotel, qualcosa cambia anche nell’operatività quotidiana di chi ci lavora, dalle procedure di accesso all’extranet alla gestione delle deleghe interne. Fino a quel momento le truffe prenotazioni hotel restano un rischio operativo che ogni struttura gestisce da sola.

Vale la pena ricordare perché gli annunci falsi Booking riguardano anche gli alberghi e non soltanto gli ospiti. Una struttura inesistente che compare nella stessa pagina di ricerca sottrae clic e prenotazioni a chi quella camera la ha davvero, e quando il raggiro viene scoperto la perdita di fiducia ricade su tutto il comparto ricettivo della destinazione. È il ragionamento che Hotrec porta avanti quando chiede controlli più severi all’ingresso: la qualità della vetrina è un bene comune, non soltanto un costo della piattaforma.

Che cosa si può fare senza aspettare Bruxelles

Un procedimento formale della Commissione dura mesi e può chiudersi con impegni vincolanti, misure provvisorie o sanzioni; il Digital Services Act prevede multe fino al 6 per cento del fatturato mondiale annuo. Nulla di tutto questo protegge una struttura nelle prossime settimane.

Quello che la protegge è più noioso: autenticazione a due fattori su ogni accesso all’extranet, un elenco aggiornato di chi in hotel ha le credenziali e la revoca immediata quando una persona cambia reparto o lascia l’azienda, una regola scritta per cui nessun pagamento viene mai chiesto all’ospite via messaggio fuori dai canali concordati, e la stessa regola comunicata in conferma di prenotazione, così che sia l’ospite a riconoscere il messaggio anomalo. Un phishing hotel riuscito, in genere, ha trovato una password condivisa in reception.

C’è poi una scelta di posizionamento. Un canale che vale due terzi dell’intermediazione europea non si abbandona per un procedimento amministrativo, ma la vulnerabilità appena fotografata a Bruxelles è un argomento solido per spostare margine sul diretto: la prenotazione che arriva dal sito dell’albergo non espone l’ospite a questo tipo di rischio, e l’albergatore ha una ragione in più per spiegarglielo in modo chiaro. Le truffe prenotazioni hotel non si risolvono struttura per struttura, ma la fiducia dell’ospite si guadagna o si perde esattamente lì, al banco della reception. Ed è lì che le truffe prenotazioni hotel vanno intercettate, prima che diventino un reclamo.

Fonti: Commissione europea, comunicato IP/26/2223 del 21 ottobre 2026; Hotrec, European Hotel Distribution Study 2026 e nota del 23 ottobre 2026; The Register; TravelDailyNews; TTG Italia.

Seguici sui canali HB: la pagina LinkedIn di Hospitality Business Magazine Italia, la Newsletter dell’Albergatore e il magazine.