***
Testo del videocorso
Benvenuti al corso di sicurezza informatica di Hotel Villa Rosa S.R.L.
Come noto navigare sul web oggi richiede consapevolezza. Le minacce digitali sono sempre più sofisticate e mirano non solo ai sistemi informatici, ma soprattutto al fattore umano. La maggior parte degli attacchi informatici, infatti, non sfrutta falle tecnologiche, ma errori di distrazione delle persone.
In questo corso vedremo le principali minacce, con un focus particolare sul phishing e sui rischi specifici del settore alberghiero e aziendale.
Prima di iniziare, una domanda. Quanto vale, sul mercato nero, una scansione del passaporto di un nostro ospite? Sebbene non sia possibile dare una risposta precisa, le ricostruzioni di alcuni casi realmente accaduti hanno riportato, come valore per la rivendita della copia di passaporti rubati dai sistemi informatici, oltre 800 euro ciascuno. Precisamente, nell’estate del 2025, più di 70.000 scansioni di passaporti e carte d’identità sono state sottratte da hotel italiani. Evidentemente, la sicurezza informatica non è una materia che riguarda solo i tecnici. È una responsabilità che coinvolge ogni singola persona che lavora nella struttura: dalla reception alla cucina, dalle camere alla manutenzione.
La realtà è chiara: la maggior parte degli attacchi informatici non sfrutta falle dei computer, ma la distrazione delle persone. Un click di troppo, una password lasciata su un foglietto, un allegato aperto senza verifica. È così che i criminali entrano.
In questo corso verranno illustrate, con linguaggio semplice, le minacce più frequenti e le regole pratiche per difendersi.
AFFRONTIAMO ORA LE PRINCIPALI MINACCE
Si comincia dal nemico numero uno: il phishing.
La parola viene dall’inglese fishing, pescare. E rende bene l’idea: il criminale getta un’esca, ad esempio un’e-mail falsa, e aspetta che qualcuno abbocchi.
Il meccanismo è sempre lo stesso. Arriva un messaggio che sembra provenire da una banca, da un corriere, da Booking, dalle Poste. Il tono è urgente: “Account bloccato”, “Pacco in giacenza”, “Verifica immediata richiesta”. All’interno c’è un link. Chi clicca viene portato su una pagina identica a quella vera. Inserisce la propria password. E in quel momento, senza accorgersene, l’ha consegnata ai criminali.
Il phishing arriva anche via SMS — in questo caso si parla di smishing — e via telefono, e in quel caso si chiama vishing.
Esistono varianti più mirate, ancora più pericolose:
- Spear phishing: un attacco costruito su misura per una persona specifica. Vengono usati nomi reali, dettagli trovati sui social, riferimenti ai colleghi. Sembra tutto autentico.
Attenzione anche ai QR code (quishing): possono rimandare a siti falsi identici a quelli ufficiali per rubare credenziali o dati di pagamento. Non scansionare mai codici provenienti da fonti non verificate o presenti su materiali sospetti. Sono stati registrati casi di finte multe o finte comunicazioni delle Poste con QR code truffa che portavano a link dannosi.
- Esiste anche la Truffa del bonifico (in inglese Business Email Compromise): qualcuno si finge il direttore o il proprietario e scrive all’amministrazione: “Disponi subito un bonifico, è urgente”. È una delle truffe più costose al mondo per le aziende. Regola assoluta: in caso di richieste di bonifico ricevute via e-mail, occorre sempre verificare chi sia il reale mittente, non disponendo il pagamento in assenza di assoluta certezza sul mittente. Pertanto, non si devono mai confermare bonifici in cui viene segnalata dalla banca una non corrispondenza tra il nome del destinatario che abbiamo inserito e l’iban indicato.
I virus informatici: i malware
I virus informatici, in linguaggio tecnico, si chiamano malware. Ne esistono di vari tipi.
Il più temuto è il ransomware. Si tratta di un programma che, una volta entrato nei computer dell’hotel, cripta tutti i file: li rende illeggibili. Compare quindi un messaggio: “Pagate il riscatto e i dati saranno restituiti”. Si pensi a un hotel che la mattina del check-out non riesce più ad aprire il gestionale. Niente prenotazioni, niente fatture, niente conti. Per giorni.
Esistono poi gli spyware, che spiano in silenzio quanto viene scritto sulla tastiera, comprese le password. E i trojan, che si nascondono dentro programmi apparentemente innocui — ad esempio un finto aggiornamento — e aprono una porta secondaria nei sistemi aziendali.
Il furto di dati e le reti pubbliche
Esistono anche attacchi diretti ai server delle aziende, attraverso cui i criminali sottraggono interi database di utenti. Per questa ragione è fondamentale non utilizzare mai la stessa password per più servizi: se ne viene rubata una, vengono compromesse tutte.
Particolare attenzione va riservata al Wi-Fi pubblico di bar, stazioni, aeroporti. Su quelle reti un criminale può intercettare il traffico tra il dispositivo della vittima e il sito visitato, leggendo password, numeri di carta e messaggi. Quando ci si trova fuori dalla struttura, il Wi-Fi pubblico non va mai utilizzato per operazioni sensibili: meglio la connessione dati del proprio telefono.
PERCHÉ GLI HOTEL SONO UN BERSAGLIO PERFETTO?
Ci si chiede spesso perché il settore alberghiero sia così attaccato. La risposta è semplice: gli hotel possiedono tre cose particolarmente preziose per i criminali informatici.
In primo luogo, dati di pagamento aggiornati di clienti provenienti da tutto il mondo. In secondo luogo, documenti d’identità: passaporti, carte d’identità, patenti. In terzo luogo, personale che riceve quotidianamente centinaia di e-mail da sconosciuti, perché è normale ricevere richieste di prenotazione, preventivi, contatti di nuovi clienti.
Quest’ultimo punto è la nostra vulnerabilità. Per un hotel, ricevere e-mail da mittenti sconosciuti è la routine. Per un criminale, è la porta d’ingresso ideale.
LE TRUFFE PIÙ COMUNI NEL SETTORE
La finta prenotazione. Arriva un’e-mail che simula una richiesta di preventivo o una conferma di prenotazione. È presente un allegato, magari nominato “Dettagli ospiti” o “Ricevuta bonifico”. L’allegato viene aperto per consultarne il contenuto. In quel momento si è installato un virus sul computer della reception. Da lì, in pochi minuti, i criminali possono accedere al gestionale e sottrarre i dati di tutti gli ospiti.
Il finto reclamo. Arriva un’e-mail di un sedicente cliente furioso: “Mi è stato addebitato un importo errato! Ecco le foto a questo link!”. Cliccando, si apre una pagina che imita Booking o Expedia, e che chiede di effettuare il login. Si inseriscono utente e password, e si è appena consegnato l’accesso all’account aziendale.
Il finto messaggio di Booking o Expedia. È la truffa più diffusa attualmente. Arriva un messaggio, talvolta direttamente nella chat di Booking, che invita ad “aggiornare i dati di pagamento” o a “verificare l’account”. C’è un link. Tutto sembra regolare. È falso.
Altro esempio è l’inganno del supporto tecnico, dove un presunto operatore del gestionale o di un fornitore chiama o scrive dicendo che c’è un “problema urgente” con l’account o le prenotazioni. Chiede di installare un programma di accesso remoto (come TeamViewer o AnyDesk) oppure di comunicare un codice di accesso. Nessun dipendente è autorizzato a dare questo tipo di autorizzazioni. I servizi di assistenza avvengono solo tramite i canali ufficiali. In ogni caso, non deve mai essere autorizzato a nessuno l’accesso al sistema informatico, qualsiasi accesso dall’esterno non può MAI essere autorizzato dal dipendente. Qualsiasi operazione sui sistemi deve prima essere autorizzata dalla direzione e previo confronto con l’amministratore di sistema.
Regola d’oro: prima di cliccare qualsiasi link, è necessario fermarsi un attimo e valutare. In caso di dubbio, non cliccare mai.
LA RECEPTION
La reception è il cuore della struttura. È il punto in cui transitano i dati di tutti gli ospiti. Ed è qui che l’attenzione deve essere massima. Vediamo, quindi, alcune situazioni.
Se un ospite chiede di stampare un biglietto aereo o un PDF. Estrae la propria chiavetta USB e la porge alla reception. La chiavetta non va inserita nel computer della reception. Mai.
Quella chiavetta potrebbe contenere un virus, anche all’insaputa del proprietario. Nel momento in cui viene collegata al computer della reception, il virus entra nella rete dell’hotel.
La procedura corretta è un’altra: chiedere all’ospite di inviare il file via e-mail, e aprirlo solo dopo averlo controllato con l’antivirus. In alternativa, utilizzare un computer dedicato alle stampe, non collegato al gestionale, verificando sempre prima con l’antivirus il dispositivo inserito.
Oppure, vediamo ora un altro caso, squilla il telefono. Una voce ci dice: “Buongiorno, sono il supporto tecnico di Booking. Abbiamo rilevato un problema sul vostro account. Mi può comunicare il codice che le sto inviando via SMS?”
La risposta corretta è una sola: riagganciare.
Nessun supporto tecnico serio, di nessuna azienda al mondo, chiederà mai per telefono una password o un codice OTP ricevuto via SMS. Mai. Anche se la voce è cortese, anche se la richiesta sembra urgente: si riaggancia. Per maggiore sicurezza, è poi possibile cercare il numero ufficiale dell’azienda interessata e richiamare direttamente.
Altro elemento da proteggere è lo schermo del computer della reception che non deve essere visibile agli ospiti in attesa. Su quel monitor compaiono nomi, cognomi, numeri di camera, dati di pagamento. Se la postazione non può essere riposizionata, è opportuno richiedere alla direzione un filtro privacy: una pellicola che rende illeggibile lo schermo se osservato lateralmente.
E ogni volta che ci si allontana dalla postazione, anche solo per pochi minuti, il computer deve essere sempre bloccato. Su Windows è sufficiente premere contemporaneamente i tasti Windows e L. Due tasti, un secondo: una protezione fondamentale.
Anche i documenti stampati, prenotazioni, conferme con dati di carte di credito non devono mai restare incustoditi sulla stampante o sul bancone. Vanno ritirati immediatamente. E quando non sono più necessari, non vanno gettati nel cestino: vanno distrutti con il distruggidocumenti o eliminati completamente dal dispositivo.
I DOCUMENTI DEGLI OSPITI
Il 29 aprile 2026, il Garante per la Protezione dei Dati Personali ha pubblicato un comunicato ufficiale rivolto direttamente al settore: alberghi, B&B, affittacamere.
Il messaggio dell’Autorità è chiarissimo, e si può riassumere in una frase:
Le copie dei documenti degli ospiti non possono essere conservate. Devono essere cancellate o distrutte subito dopo la comunicazione alle autorità di pubblica sicurezza.
Il principio merita di essere ripetuto, vista la sua importanza.
La legge italiana impone alle strutture ricettive di identificare ogni ospite e di trasmettere i suoi dati alla Questura entro il termine di legge, attraverso il portale Alloggiati Web.
La stessa legge, però, non impone, e anzi non consente, di conservare scansioni o fotocopie dei documenti dopo questa trasmissione.
L’unico elemento che può e deve essere conservato per cinque anni è la ricevuta generata automaticamente dal portale, a dimostrazione dell’avvenuta comunicazione. Non il documento dell’ospite. Solo la ricevuta.
L’Hotel deve quindi procedere ad eliminare qualsiasi documento ancora in suo possesso.
Le pratiche da abbandonare
Alla luce del comunicato del Garante, è necessario abbandonare alcune abitudini che fino a ieri sembravano normali. Da oggi, in questa struttura:
- Non si fotografano i documenti con lo smartphone. Mai. Né con dispositivi personali, né con dispositivi aziendali. Il Garante cita esplicitamente questa pratica come vietata.
- Non si chiede mai a un ospite di inviare il p roprio documento via WhatsApp, Telegram, Messenger o qualunque altra applicazione di messaggistica. Anche questa pratica è espressamente vietata dal Garante.
- Non si conservano scansioni o fotocopie sul computer, su cartelle condivise, su chiavette USB, in caselle e-mail. I dati vanno trasmessi ad Alloggiati Web e poi cancellati immediatamente.
- Non si stampano e non si archiviano in cartellette cartacee le fotocopie dei documenti.
La motivazione è chiara: ogni copia conservata è una bomba a orologeria. Se i sistemi vengono violati — e vedremo a breve quanto sia accaduto realmente in Italia — quei documenti finiscono sul mercato nero. E la responsabilità ricade sulla struttura.
Le carte di credito
Lo stesso principio si applica ai dati di pagamento.
I numeri delle carte di credito non vanno mai trascritti su fogli, post-it, agende, file di testo, e-mail, chat. Mai.
Se un cliente invia i dati della carta via e-mail i dati vanno inseriti immediatamente nel sistema sicuro, e l’e-mail va eliminata subito. Anche dal cestino della posta.
LA REGOLA D’ORO è NESSUN DATO FUORI DAI SISTEMI
Da quanto illustrato fin qui deriva la regola più importante dell’intero corso:
Nessun dato di un ospite o di un cliente deve mai uscire dai sistemi gestionali ufficiali della struttura.
Tutte le informazioni ( nomi, cognomi, recapiti, dati di pagamento, preferenze ) devono restare all’interno del sistema di gestione delle proprietà, del gestionale e delle piattaforme protette e crittografate autorizzate dalla direzione.
In termini operativi, è quindi vietato:
- copiare elenchi di ospiti su file Excel locali, sul desktop o in cartelle del computer;
- salvare dati su chiavette USB, anche aziendali, se non specificamente protette;
- archiviare informazioni su smartphone, tablet o computer personali;
- stampare elenchi di ospiti o dati di pagamento e lasciarli incustoditi;
- inviare dati personali a soggetti non esplicitamente autorizzati a riceverli;
- discutere di dati specifici di ospiti tramite WhatsApp, anche tra colleghi.
Regola pratica da ricordare sempre: se un dato non si trova all’interno di un sistema ufficiale e protetto della struttura, allora si trova nel posto sbagliato. E in quel posto, rappresenta un pericolo.
LA SICUREZZA RIGUARDA TUTTO IL PERSONALE
Una sezione dedicata a chi non opera direttamente alla reception.
Chi lavora in housekeeping, in cucina, in sala, in manutenzione, in lavanderia: anche per queste figure le regole di sicurezza sono fondamentali. Ogni dipendente, infatti, può rappresentare una potenziale porta d’ingresso per un attacco.
Il Wi-Fi aziendale. Chi ha accesso al Wi-Fi dell’hotel con il proprio telefono personale deve ricordare che da quel telefono possono passare virus capaci di colpire la rete aziendale. È quindi importante mantenere il telefono aggiornato e non installare applicazioni di provenienza dubbia.
Le foto con il telefono. Capita di voler fotografare una camera, un dettaglio, un piatto, per inviarlo a un collega o per i social. In quelle foto non devono mai comparire schermi di computer, prenotazioni, foglietti con nomi, documenti. Mai. Una foto apparentemente innocua può portare alla diffusione di dati riservati su Internet.
I social media personali. È vietato pubblicare sui propri profili social informazioni relative ai clienti dell’hotel: nomi, foto, dettagli sul soggiorno. Mai. Nemmeno se l’ospite è un personaggio noto. Anzi, in quel caso a maggior ragione.
Le chiavette USB trovate. Se viene rinvenuta una chiavetta USB in una camera, in un corridoio o in una sala riunioni, non va inserita in nessun computer per identificarne il proprietario. Va consegnata alla direzione. Si tratta di uno dei trucchi più antichi e più efficaci dei criminali: lasciare in giro chiavette infette e attendere che qualcuno le raccolga.
Le telefonate al centralino. Quando al telefono vengono richieste informazioni su un ospite — se è in camera, quando arriva, a che ora parte — la risposta è sempre la stessa: “Non posso fornire questa informazione, le passo la reception”. Sempre. Anche se l’interlocutore dichiara di essere un parente, un collega o un’autorità. Sarà la reception a valutare come gestire la richiesta. In ogni caso è sempre il cliente a dover decidere se e come accogliere la richiesta, nessuna informazione deve essere lasciata alla persona che sta chiamando.
PARTE 7 – I RISCHI ECONOMICI: I NUMERI VERI
Qualche cifra concreta. Perché un errore di sicurezza non è solo una svista: è un rischio finanziario che può compromettere la sopravvivenza stessa di un’azienda.
Le sanzioni del GDPR
Il Regolamento Europeo sulla Protezione dei Dati, noto come GDPR, prevede sanzioni molto pesanti per chi non protegge adeguatamente i dati.
Per le violazioni meno gravi: fino a 10 milioni di euro, oppure il 2% del fatturato annuo mondiale dell’azienda. Si applica la cifra più alta tra le due.
Per le violazioni più gravi, come la mancata protezione dei dati: fino a 20 milioni di euro, oppure il 4% del fatturato. Anche in questo caso, si applica la cifra più alta.
| Gravità Violazione | Sanzione Amministrativa (Max) | Sanzione su Fatturato (Max) | Criterio Applicativo |
| MINORE | 10 Milioni € | 2% del fatturato mondiale | Si applica la cifra più alta |
| MAGGIORE | 20 Milioni € | 4% del fatturato mondiale | Si applica la cifra più alta |
Casi reali di rilievo
Tre casi che è importante conoscere.
Marriott International, una delle più grandi catene alberghiere del mondo, ha subito un attacco hacker che ha esposto i dati di 339 milioni di clienti. La sanzione iniziale era di circa 110 milioni di euro, poi ridotta a circa 20 milioni di euro in considerazione delle misure correttive adottate e dell’impatto della pandemia. Resta comunque una multa da venti milioni, oltre al danno reputazionale.
British Airways è stata sanzionata per 20 milioni di sterline a seguito di una violazione dei dati dei propri clienti.
Hotel italiani, estate 2025: il caso che ci riguarda più da vicino. Tra giugno e luglio 2025, alcune strutture ricettive italiane sono state colpite da un attacco condotto da un gruppo di criminali identificato come “Mydocs”. Sono state sottratte oltre 70.000 scansioni di passaporti e carte d’identità, poi messe in vendita sul dark web a partire da 800 euro a documento. Il Garante della Privacy ha avviato verifiche su tutte le strutture coinvolte. A seguito di questi fatti, è stato emanato il comunicato del 29 aprile 2026 citato in precedenza.
Oltre la multa
La sanzione, peraltro, è solo l’inizio. A essa si aggiungono:
- le cause civili dei singoli ospiti, che possono richiedere risarcimenti per il danno subito, anche di natura non patrimoniale;
- il danno reputazionale: un attacco di questo tipo finisce sui giornali, e le prenotazioni crollano per mesi;
- il blocco operativo: un attacco ransomware può paralizzare la struttura per giorni;
- i costi di ripristino: consulenze legali, tecniche e forensi, comunicazione obbligatoria al Garante entro 72 ore, comunicazione individuale a tutti gli ospiti coinvolti.
Una violazione seria può costare a una struttura come la nostra molto più della sola sanzione del Garante.
LE DIECI REGOLE DA RICORDARE OGNI GIORNO
Si arriva alla parte più operativa del corso. Dieci regole, semplici, da applicare ogni giorno.
- Diffidare sempre dell’urgenza. Se un’e-mail mette fretta o richiede dati sensibili, è quasi certamente una truffa. Banche, fornitori e piattaforme serie non chiedono mai password via e-mail.
- Attivare l’autenticazione a due fattori su tutti gli account aziendali: gestionale, Booking, Expedia, e-mail, banca. Anche in caso di furto della password, senza il secondo codice nessuno può entrare.
- Controllare sempre l’indirizzo prima di cliccare. Passando il mouse sul link si vede l’indirizzo reale. Il sito ufficiale di Booking finisce con booking.com. Indirizzi come booking-support.top sono trappole.
- Verificare il mittente. Quando un’e-mail sembra arrivare da Booking, occorre controllare che l’indirizzo del mittente termini effettivamente con @booking.com.
- Diffidare degli allegati non attesi. Anche se sembrano fatture o prenotazioni, se l’e-mail non era prevista da quel mittente l’allegato non va aperto. Meglio una telefonata di verifica.
- Utilizzare password diverse e robuste. Mai la stessa password per più servizi. Quando la direzione mette a disposizione un password manager aziendale, è la soluzione più sicura.
- Bloccare sempre il computer quando ci si allontana. Tasto Windows + L. Sempre.
- Nessun dato fuori dai sistemi ufficiali. Mai su Excel, mai su WhatsApp, mai su e-mail personale, mai su chiavetta USB. Nessuna scansione di documenti conservata. Mai.
- Mantenere i sistemi aggiornati. Quando il computer propone un aggiornamento di sicurezza, non va rimandato a tempo indeterminato. Quegli aggiornamenti chiudono falle note ai criminali.
- Segnalare immediatamente ogni anomalia. Computer che rallenta, finestre che si aprono da sole, e-mail strane, telefonate sospette, richieste insolite da parte di colleghi: la direzione o il responsabile IT vanno avvisati subito. Meglio dieci falsi allarmi che un attacco non rilevato.
Si è giunti alla conclusione del corso. Una considerazione finale.
Tutti i contenuti illustrati possono sembrare numerosi, ma in realtà si riducono a tre principi semplici:
- Pensare un secondo prima di cliccare.
- I dati degli ospiti non devono mai uscire dai sistemi protetti.
- In caso di dubbio, chiedere.
Va ricordato sempre un concetto fondamentale: la sicurezza di un hotel non dipende dai computer, dai firewall o dai software costosi. Dipende dalle persone. Dipende da ciascuno di noi.
Una struttura è sicura tanto quanto è attenta la persona meno attenta del suo staff.
Da oggi, ogni volta che si riceve un’e-mail sospetta, ogni volta che qualcuno richiede dati al telefono, ogni volta che un ospite porge una chiavetta USB: fermarsi un secondo e riflettere è obbligatorio. Quel secondo di attenzione in più può evitare danni irreparabili.
Per qualsiasi dubbio, anche piccolo, anche apparentemente irrilevante, è possibile contattare il DPO, Valentina Remonato, autrice di questo video e a disposizione per ogni domanda.
Grazie per l’attenzione e buon lavoro.