***
Text of the video course
Welcome to the IT security course of Hotel Villa Rosa S.R.L.
As we know, surfing the web today requires awareness. Digital threats are increasingly sophisticated and target not only computer systems, but above all the human factor. In fact, most cyber attacks do not exploit technological flaws, but rather people's careless errors.
In this course we will look at the main threats, with a particular focus on phishing and the specific risks of the hotel and corporate sector.
Before we start, a question. How much is a scan of one of our guest's passports worth on the black market? Although it is not possible to give a precise answer, reconstructions of some cases that actually occurred have reported the value for the resale of copies of passports stolen from computer systems at over 800 euros each. Precisely, in the summer of 2025, more than 70,000 passport and identity card scans were stolen from Italian hotels. Evidently, computer security is not a subject that concerns only technicians. It is a responsibility that involves every single person who works in the structure: from the reception to the kitchen, from the rooms to maintenance.
The reality is clear: most cyber attacks do not exploit computer flaws, but people's distraction. One click too many, a password left on a piece of paper, an attachment opened without verification. This is how criminals get in.
In this course, the most frequent threats and practical rules for defending yourself will be illustrated in simple language.
LET'S NOW ADDRESS THE MAIN THREATS
We start with enemy number one: phishing.
The word comes from English fishing, fish. And it gives a good idea: the criminal throws a bait, for example a fake Email, and waits for someone to take the bait.
The mechanism is always the same. A message arrives that seems to come from a bank, a courier, Booking, the post office. The tone is urgent: “Account blocked”, “Package in storage”, “Immediate verification required”. There is a link inside. Anyone who clicks is taken to a page identical to the real one. Enter your password. And at that moment, without realizing it, he handed her over to the criminals.
Phishing also arrives via SMS — in this case we talk about smishing — and via telephone, and in that case it is called vishing.
There are more targeted, even more dangerous variants:
- Spear phishing: An attack custom-built for a specific person. Real names, details found on social media, references to colleagues are used. It all seems authentic.
Also be careful of QR codes (quishing): they can lead to fake sites identical to the official ones to steal credentials or payment data. Never scan codes from unverified sources or on suspicious materials. Cases of fake fines or fake communications from the Post Office with scam QR codes leading to malicious links have been recorded.
- There is also a bank transfer scam (in English Business Email Compromise): someone pretends to be the director or owner and writes to the administration: “Arrange a bank transfer immediately, it's urgent”. It is one of the most expensive scams in the world for companies. Absolute rule: in the case of bank transfer requests received via e-mail, it is always necessary to verify who the real sender is, not arranging the payment in the absence of absolute certainty about the sender. Therefore, you should never confirm transfers in which the bank reports a mismatch between the recipient's name that you have entered and the IBAN indicated.
Computer viruses: malware
Computer viruses, in technical language, are called malware. There are various types.
The most feared is the ransomware. It is a program which, once entered into the hotel computers, encrypt all files: makes them unreadable. A message then appears: “Pay the ransom and the data will be returned”. Think of a hotel that is no longer able to open the management software on the morning of check-out. No reservations, no invoices, no bills. For days.
Then there are the spyware, who silently spy on what is written on the keyboard, including passwords. And i trojan, which hide inside seemingly harmless programs — such as a fake update — and open a back door into company systems.
Data theft and public networks
There are also direct attacks on company servers, through which criminals steal entire user databases. For this reason it is fundamental never use the same password for multiple services: if one is stolen, all are compromised.
Particular attention should be paid to Public Wi-Fi of bars, stations, airports. On those networks, a criminal can intercept traffic between the victim's device and the site visited, reading passwords, card numbers and messages. When you are outside the facility, Public Wi-Fi should never be used for sensitive operations: your phone's data connection is better.
WHY HOTELS ARE A PERFECT TARGET
We often wonder why the hotel sector is so attacked. The answer is simple: hotels have three things that are particularly valuable to cybercriminals.
First, updated payment information of customers from all over the world. Secondly, identity documents: passports, identity cards, driving licences. Thirdly, staff who receive hundreds of emails from strangers every day, because it is normal to receive booking requests, quotes, contacts from new customers.
This last point is our vulnerability. For a hotel, receiving emails from unknown senders is routine. For a criminal, it is the ideal gateway.
THE MOST COMMON SCAMS IN THE SECTOR
The fake booking. An Email arrives simulating a request for a quote or a booking confirmation. There is an attachment, perhaps named “Guest Details” or “Bank transfer receipt”. The attachment is opened to consult its contents. At that moment a virus was installed on the reception computer. From there, in a few minutes, criminals can access the management system and steal the data of all guests.
The fake complaint. An Email arrives from a so-called furious customer: "I was charged the wrong amount! Here are the photos at this link!". By clicking, a page opens that imitates Booking or Expedia, and asks you to log in. You enter your username and password, and you have just given yourself access to your company account.
The fake Booking or Expedia message. It is the most widespread scam currently. A message arrives, sometimes directly in the Booking chat, inviting you to “update payment details” or a “verify account”. There is a link. Everything seems fine. It's false.
Another example is the technical support deception, where an alleged management system or supplier operator calls or writes saying that there is an "urgent problem" with the account or reservations. It asks to install a remote access program (such as TeamViewer or AnyDesk) or to provide an access code. No employee is authorized to give this type of permission. Assistance services take place only through official channels. In any case, no one must ever be authorized to access the computer system, any external access can NEVER be authorized by the employee. Any operation on the systems must first be authorized by the management and after discussion with the system administrator.
Golden rule: before clicking any link, you need to stop for a moment and evaluate. In case of doubt, never click.
THE RECEPTION
The reception is the heart of the structure. It is the point where the data of all guests transits. And this is where maximum attention must be paid. Let's look at some situations.
If a guest asks to print a plane ticket or PDF. He takes out his USB stick and hands it to the reception. The key must not be inserted into the reception computer. Never.
That flash drive could contain a virus, even without the owner's knowledge. The moment it is connected to the reception computer, the virus enters the hotel network.
The correct procedure is different: ask the guest to send the file via e-mail, and open it only after checking it with the antivirus. Alternatively, use a computer dedicated to prints, not connected to the management system, always checking the inserted device first with the antivirus.
Or, let's now look at another case, yeshere's the phone. A voice tells us: "Good morning, I'm Booking's technical support. We've detected a problem with your account. Can you tell me the code I'm sending you via SMS?"
There is only one correct answer: hang up.
No serious technical support, from any company in the world, will ever ask over the phone for a password or an OTP code received via SMS. Never. Even if the voice is polite, even if the request seems urgent: he hangs up. For greater security, it is then possible to search for the official number of the company concerned and call back directly.
Another element to protect is theor reception computer screen that it must not be visible to waiting guests. Names, surnames, room numbers and payment details appear on that monitor. If the workstation cannot be repositioned, it is advisable to ask the management for a privacy filter: a film that makes the screen unreadable when viewed from the side.
And every time you leave your desk, even for just a few minutes, the computer must always be locked. On Windows you just need to press the keys at the same time Windows and L. Two buttons, a second: fundamental protection.
Even printed documents, reservations, confirmations with credit card details they must never remain unattended on the printer or on the counter. They must be withdrawn immediately. And when they are no longer needed, they should not be thrown in the bin: they must be destroyed with the document shredder or completely eliminated from the device.
GUEST DOCUMENTS
The April 29, 2026, the Guarantor for the Protection of Personal Data has published an official press release aimed directly at the sector: hotels, B
The Authority's message is very clear, and can be summed up in one sentence:
Copies of guest documents cannot be kept. They must be canceled or destroyed immediately after communication to the public security authorities.
The principle bears repeating, given its importance.
Italian law requires accommodation facilities to identify each guest and to transmit their data to the Police Headquarters within the legal deadline, through the portal Hosted Web.
The same law, however, does not impose, and indeed does not allow, Of keep scans or photocopies of documents after this transmission.
The only element that can and must be preserved for five years it's there received automatically generated by the portal, demonstrating that communication has taken place. Not the guest's document. Just the receipt.
The Hotel must therefore proceed to eliminate any documents still in its possession.
Practices to abandon
In light of the Guarantor's statement, it is necessary to abandon some habits that until yesterday seemed normal. From today, in this structure:
- Documents are not photographed with a smartphone. Never. Neither with personal devices, nor with company devices. The Guarantor explicitly mentions this practice as prohibited.
- You never ask a guest to send their document via WhatsApp, Telegram, Messenger or any other messaging application. This practice is also expressly prohibited by the Guarantor.
- No scans or photocopies are retained on the computer, on shared folders, on USB sticks, in Email boxes. The data must be transmitted to Alloggiati Web and then deleted immediately.
- They are not printed or stored in paper folders photocopies of documents.
The motivation is clear: every preserved copy is a time bomb. If the systems are hacked — and we will soon see what actually happened in Italy — those documents end up on the black market. And the responsibility falls on the structure.
Credit cards
The same principle applies to payment data.
Credit card numbers they should never be transcribed on paper, post-its, diaries, text files, emails, chats. Never.
If a customer sends card details via Email the details must be entered into the secure system immediately, and the Email goes eliminated immediately. Even from the mailbox.
THE GOLDEN RULE IS NO DATA OUTSIDE THE SYSTEMS
From what has been illustrated so far comes the most important rule of the entire course:
No guest or customer data should ever leave the facility's official management systems.
All information (names, surnames, contact details, payment details, preferences) must remain within the property management system, management system and protected and encrypted platforms authorized by the management.
In operational terms, it is then prohibited:
- copy guest lists to local Excel files, on your desktop or in folders on your computer;
- salvare dati su chiavette USB, anche aziendali, se non specificamente protette;
- archiviare informazioni su smartphone, tablet o computer personali;
- stampare elenchi di ospiti o dati di pagamento e lasciarli incustoditi;
- inviare dati personali a soggetti non esplicitamente autorizzati a riceverli;
- discutere di dati specifici di ospiti tramite WhatsApp, anche tra colleghi.
Regola pratica da ricordare sempre: se un dato non si trova all’interno di un sistema ufficiale e protetto della struttura, allora si trova nel posto sbagliato. E in quel posto, rappresenta un pericolo.
LA SICUREZZA RIGUARDA TUTTO IL PERSONALE
Una sezione dedicata a chi non opera direttamente alla reception.
Chi lavora in housekeeping, in cucina, in sala, in manutenzione, in lavanderia: anche per queste figure le regole di sicurezza sono fondamentali. Ogni dipendente, infatti, può rappresentare una potenziale porta d’ingresso per un attacco.
Il Wi-Fi aziendale. Chi ha accesso al Wi-Fi dell’hotel con il proprio telefono personale deve ricordare che da quel telefono possono passare virus capaci di colpire la rete aziendale. È quindi importante mantenere il telefono aggiornato e non installare applicazioni di provenienza dubbia.
Le foto con il telefono. Capita di voler fotografare una camera, un dettaglio, un piatto, per inviarlo a un collega o per i social. In quelle foto non devono mai comparire schermi di computer, prenotazioni, foglietti con nomi, documenti. Mai. Una foto apparentemente innocua può portare alla diffusione di dati riservati su Internet.
I social media personali. È vietato pubblicare sui propri profili social informazioni relative ai clienti dell’hotel: nomi, foto, dettagli sul soggiorno. Mai. Nemmeno se l’ospite è un personaggio noto. Anzi, in quel caso a maggior ragione.
Le chiavette USB trovate. Se viene rinvenuta una chiavetta USB in una camera, in un corridoio o in una sala riunioni, non va inserita in nessun computer per identificarne il proprietario. Va consegnata alla direzione. Si tratta di uno dei trucchi più antichi e più efficaci dei criminali: lasciare in giro chiavette infette e attendere che qualcuno le raccolga.
Le telefonate al centralino. Quando al telefono vengono richieste informazioni su un ospite — se è in camera, quando arriva, a che ora parte — la risposta è sempre la stessa: “Non posso fornire questa informazione, le passo la reception”. Sempre. Anche se l’interlocutore dichiara di essere un parente, un collega o un’autorità. Sarà la reception a valutare come gestire la richiesta. In ogni caso è sempre il cliente a dover decidere se e come accogliere la richiesta, nessuna informazione deve essere lasciata alla persona che sta chiamando.
PARTE 7 – I RISCHI ECONOMICI: I NUMERI VERI
Qualche cifra concreta. Perché un errore di sicurezza non è solo una svista: è un rischio finanziario che può compromettere la sopravvivenza stessa di un’azienda.
Le sanzioni del GDPR
Il Regolamento Europeo sulla Protezione dei Dati, noto come GDPR, prevede sanzioni molto pesanti per chi non protegge adeguatamente i dati.
Per le violazioni meno gravi: fino a 10 milioni di euro, oppure il 2% del fatturato annuo mondiale dell’azienda. Si applica la cifra più alta tra le due.
Per le violazioni più gravi, come la mancata protezione dei dati: fino a 20 milioni di euro, oppure il 4% del fatturato. Anche in questo caso, si applica la cifra più alta.
| Gravità Violazione | Sanzione Amministrativa (Max) | Sanzione su Fatturato (Max) | Criterio Applicativo |
| MINORE | 10 Milioni € | 2% del fatturato mondiale | Si applica la cifra più alta |
| MAGGIORE | 20 Milioni € | 4% del fatturato mondiale | Si applica la cifra più alta |
Casi reali di rilievo
Tre casi che è importante conoscere.
Marriott International, una delle più grandi catene alberghiere del mondo, ha subito un attacco hacker che ha esposto i dati di 339 milioni di clienti. La sanzione iniziale era di circa 110 milioni di euro, poi ridotta a circa 20 milioni di euro in considerazione delle misure correttive adottate e dell’impatto della pandemia. Resta comunque una multa da venti milioni, oltre al danno reputazionale.
British Airways è stata sanzionata per 20 milioni di sterline a seguito di una violazione dei dati dei propri clienti.
Hotel italiani, estate 2025: il caso che ci riguarda più da vicino. Tra giugno e luglio 2025, alcune strutture ricettive italiane sono state colpite da un attacco condotto da un gruppo di criminali identificato come “Mydocs”. Sono state sottratte oltre 70.000 scansioni di passaporti e carte d’identità, poi messe in vendita sul dark web a partire da 800 euro a documento. Il Garante della Privacy ha avviato verifiche su tutte le strutture coinvolte. A seguito di questi fatti, è stato emanato il comunicato del 29 aprile 2026 citato in precedenza.
Oltre la multa
La sanzione, peraltro, è solo l’inizio. A essa si aggiungono:
- le cause civili dei singoli ospiti, che possono richiedere risarcimenti per il danno subito, anche di natura non patrimoniale;
- The danno reputazionale: un attacco di questo tipo finisce sui giornali, e le prenotazioni crollano per mesi;
- The blocco operativo: un attacco ransomware può paralizzare la struttura per giorni;
- i costi di ripristino: consulenze legali, tecniche e forensi, comunicazione obbligatoria al Garante entro 72 ore, comunicazione individuale a tutti gli ospiti coinvolti.
Una violazione seria può costare a una struttura come la nostra molto più della sola sanzione del Garante.
LE DIECI REGOLE DA RICORDARE OGNI GIORNO
Si arriva alla parte più operativa del corso. Dieci regole, semplici, da applicare ogni giorno.
- Diffidare sempre dell’urgenza. Se un’e-mail mette fretta o richiede dati sensibili, è quasi certamente una truffa. Banche, fornitori e piattaforme serie non chiedono mai password via e-mail.
- Attivare l’autenticazione a due fattori su tutti gli account aziendali: gestionale, Booking, Expedia, e-mail, banca. Anche in caso di furto della password, senza il secondo codice nessuno può entrare.
- Controllare sempre l’indirizzo prima di cliccare. Passando il mouse sul link si vede l’indirizzo reale. Il sito ufficiale di Booking finisce con booking.com. Indirizzi come booking-support.top sono trappole.
- Verificare il mittente. Quando un’e-mail sembra arrivare da Booking, occorre controllare che l’indirizzo del mittente termini effettivamente con @booking.com.
- Diffidare degli allegati non attesi. Anche se sembrano fatture o prenotazioni, se l’e-mail non era prevista da quel mittente l’allegato non va aperto. Meglio una telefonata di verifica.
- Utilizzare password diverse e robuste. Mai la stessa password per più servizi. Quando la direzione mette a disposizione un password manager aziendale, è la soluzione più sicura.
- Bloccare sempre il computer quando ci si allontana. Tasto Windows + L. Sempre.
- Nessun dato fuori dai sistemi ufficiali. Mai su Excel, mai su WhatsApp, mai su e-mail personale, mai su chiavetta USB. Nessuna scansione di documenti conservata. Mai.
- Mantenere i sistemi aggiornati. Quando il computer propone un aggiornamento di sicurezza, non va rimandato a tempo indeterminato. Quegli aggiornamenti chiudono falle note ai criminali.
- Segnalare immediatamente ogni anomalia. Computer che rallenta, finestre che si aprono da sole, e-mail strane, telefonate sospette, richieste insolite da parte di colleghi: la direzione o il responsabile IT vanno avvisati subito. Meglio dieci falsi allarmi che un attacco non rilevato.
Si è giunti alla conclusione del corso. Una considerazione finale.
Tutti i contenuti illustrati possono sembrare numerosi, ma in realtà si riducono a tre principi semplici:
- Pensare un secondo prima di cliccare.
- I dati degli ospiti non devono mai uscire dai sistemi protetti.
- In caso di dubbio, chiedere.
Va ricordato sempre un concetto fondamentale: la sicurezza di un hotel non dipende dai computer, dai firewall o dai software costosi. Dipende dalle persone. Dipende da ciascuno di noi.
Una struttura è sicura tanto quanto è attenta la persona meno attenta del suo staff.
Da oggi, ogni volta che si riceve un’e-mail sospetta, ogni volta che qualcuno richiede dati al telefono, ogni volta che un ospite porge una chiavetta USB: fermarsi un secondo e riflettere è obbligatorio. Quel secondo di attenzione in più può evitare danni irreparabili.
Per qualsiasi dubbio, anche piccolo, anche apparentemente irrilevante, è possibile contattare il DPO, Valentina Remonato, autrice di questo video e a disposizione per ogni domanda.
Grazie per l’attenzione e buon lavoro.