Come sono fatti questi messaggi?
Arrivano via e-mail, SMS, WhatsApp o con una telefonata, apparentemente dall'hotel o dalla piattaforma di prenotazione. Nel 2026 due enti europei hanno descritto due varianti:
- Conferma richiesta: a luglio 2026 l'INCIBE, l'istituto nazionale spagnolo per la cybersicurezza, ha segnalato messaggi, soprattutto su WhatsApp, in cui i truffatori si spacciano per un hotel. La prenotazione andrebbe confermata con un link, altrimenti verrebbe cancellata. La pagina falsa chiede poi dati personali o di pagamento.
- Rimborso offerto: a settembre 2026 il servizio austriaco Watchlist Internet ha descritto un'e-mail secondo cui un hotel avrebbe addebitato due volte la tassa di soggiorno e una commissione di servizio. Un pulsante, o un codice QR in allegato, porta a un portale falso con i dati reali del soggiorno. Lì ti chiedono le credenziali dell'home banking. Secondo Watchlist Internet, un'altra versione si rivolge a chi vive in Svizzera: il rimborso passerebbe da Twint.
Perché hotel e numero di prenotazione sono giusti?
Secondo l'INCIBE i truffatori dispongono di informazioni reali: struttura, date del soggiorno, nome dell'ospite o numero di prenotazione. Nel caso austriaco, secondo Watchlist Internet, i dati provengono probabilmente da una fuga di dati presso booking.com.
Dati corretti non provano quindi che il messaggio sia autentico. Nemmeno nome o logo, ricorda l'INCIBE. La Banca d'Italia spiega che i truffatori possono camuffare il mittente, così che indirizzo e-mail o numero di telefono sembrino quelli giusti.
Un esempio: l'e-mail prima del weekend in Salento
Esempio di fantasia: Giulia, di Bologna, ha prenotato due notti in un B&B a Lecce tramite una piattaforma e ha già pagato con la carta. Due giorni prima della partenza riceve un'e-mail a nome della struttura, con date e numero di prenotazione: il pagamento non sarebbe andato a buon fine e va ripetuto entro sei ore tramite link, altrimenti la prenotazione verrà cancellata.
Giulia non clicca sul link. Nell'app della piattaforma la prenotazione risulta confermata e pagata. Chiama il B&B al numero del suo sito: il titolare non ha mandato nessuna e-mail. Giulia fa uno screenshot, segnala l'e-mail al B&B e alla piattaforma tramite i canali ufficiali e la cancella.
Come verificare il messaggio senza cliccare sul link?
- Non rispondere, non cliccare su link o pulsanti e non scansionare codici QR del messaggio.
- Apri tu l'app o il sito della piattaforma, mai dal messaggio. Controlla lo stato della prenotazione e se c'è un pagamento in sospeso.
- Chiama l'hotel al numero del suo sito ufficiale, non a quello del messaggio. Secondo Watchlist Internet una telefonata al vero hotel chiarisce subito.
- Confronta mittente e indirizzo del link con i canali ufficiali. Un dominio sconosciuto è un chiaro campanello d'allarme.
- Fai uno screenshot, segnala il messaggio e solo dopo blocca il mittente.
Consiglio: Salva conferma di prenotazione e sito dell'hotel già quando prenoti: avrai il numero vero a portata di mano. Vedi anche Prima di un viaggio: preparare gli accessi digitali.
Come riconoscere una richiesta di pagamento falsa?
| Il messaggio… | Perché non è una prova | Come verificare |
|---|---|---|
| riporta hotel, date e numero di prenotazione | i truffatori possono avere dati reali, per esempio da una fuga di dati | aprire tu la prenotazione nell'app |
| mostra nome o logo dell'hotel | il mittente può essere camuffato | confrontare mittente e numero con il sito dell'hotel |
| minaccia la cancellazione | la fretta serve a non farti controllare | chiamare tu l'hotel |
| offre un rimborso con un codice QR | il portale falso vuole le credenziali dell'home banking | chiedere all'hotel se è previsto un rimborso |
| chiede carta, credenziali o un codice | nel caso austriaco il codice autorizzava un addebito a favore dei truffatori | non inserire nulla |
Secondo la Banca d'Italia, la banca non ti chiederà mai i dati che usi per i pagamenti online o l'home banking. Per ricevere denaro, di norma, non devi autorizzare nulla: vedi Notifica dell'app della banca.
Hai già inserito i dati: che cosa fare?
- Chiama subito la banca o l'emittente della carta.
- Disconosci le operazioni che non hai fatto e chiedi il rimborso; se la banca lo nega e ritieni di aver agito correttamente, puoi presentarle un reclamo.
- Cambia la password dell'home banking, se puoi ancora, e controlla il conto nelle settimane successive.
- Resta vigile: secondo Watchlist Internet i truffatori potrebbero riprovarci con un'altra truffa.
Secondo la Banca d'Italia, il rimborso spetta solo se hai agito in modo diligente; sono esclusi i pagamenti fatti con il tuo consenso. Ogni caso va valutato a sé: questa pagina non sostituisce una consulenza legale. Se hai solo aperto la pagina, secondo l'INCIBE basta chiuderla. Tutti i passi sono in Dati della carta inseriti su un sito sospetto.
A chi rivolgerti in Italia e in Ticino?
| Paese | Segnalare | Se hai perso denaro o dati |
|---|---|---|
| Italia | Segnalazione alle forze dell'ordine: per il rimborso non è obbligatoria, ma secondo la Banca d'Italia aiuta a contrastare le frodi | Banca subito: disconoscere le operazioni e chiedere il rimborso; se la banca lo nega o non risponde al disconoscimento entro 15 giorni lavorativi, ricorso all'Arbitro Bancario Finanziario (ABF); in ogni caso è possibile un esposto alla Banca d'Italia |
| Canton Ticino | Modulo di notifica dell'Ufficio federale della cibersicurezza UFCS | Banca subito; denuncia alla polizia. La Svizzera non è nell'UE: le regole europee non si applicano automaticamente |
Avvisa anche l'hotel e la piattaforma tramite il loro servizio clienti ufficiale.
Errori frequenti
- Fidarsi del messaggio perché numero di prenotazione e date sono giusti.
- Richiamare il numero del messaggio invece di quello sul sito dell'hotel.
- Cliccare sul link per paura della cancellazione invece di controllare nell'app.
- Inserire le credenziali dell'home banking e confermare un codice per un presunto rimborso.
- Aspettare dopo aver inserito i dati della carta invece di chiamare subito la banca.
La tua lista di controllo
Le caselle servono solo come promemoria personale. Nessun dato inserito viene inviato a noi. Per conservare la pagina, stampala o salvala in PDF dal menu del browser.
Domande frequenti
Il messaggio conosce il mio numero di prenotazione: allora è vero?
No. Secondo l'INCIBE, l'istituto nazionale spagnolo per la cybersicurezza, i truffatori hanno informazioni reali come nome della struttura, date del soggiorno, nome dell'ospite e numero di prenotazione. È proprio questo a rendere credibile il messaggio. Fidati solo di ciò che vedi nella tua prenotazione, nell'app, o di ciò che l'hotel ti conferma al suo numero ufficiale.
Un hotel può chiedere un pagamento dopo la prenotazione?
Dipende dalla prenotazione: puoi pagare in anticipo, all'arrivo o con un acconto. Le condizioni sono nella conferma e nell'app. Se un messaggio chiede un pagamento in più o una nuova verifica della carta, controlla lì e chiedi all'hotel a un numero che hai cercato tu. Non pagare mai tramite un link ricevuto nel messaggio.
Ho cliccato sul link ma non ho inserito nulla. E adesso?
Secondo l'INCIBE basta chiudere la pagina e non riaprirla. Controlla la prenotazione nell'app come al solito e segnala il messaggio. Se dopo aver cliccato sul link hai scaricato un file o installato un'app, leggi Link sospetto aperto e chiarisci che cosa è successo davvero sul tuo dispositivo.
Fonti e approfondimenti
Fonti primarie di autorità pubbliche, organizzazioni di tutela dei consumatori e fornitori. Alcune fonti possono essere in un’altra lingua: segui le indicazioni pertinenti al tuo servizio e al paese in cui vivi.
- Banca d'Italia, Economia per tutti: Truffe nei pagamenti, come difendersiFonti consultate il:
- Ufficio federale della cibersicurezza UFCS (Svizzera): contatti e modulo di notificaFonti consultate il:
- INCIBE (Spagna): falsi hotel su WhatsApp chiedono di confermare la prenotazione (avviso del 31 luglio 2026, in spagnolo)Fonti consultate il:
- Watchlist Internet (Austria): falso rimborso della tassa di soggiorno addebitata due volte (in tedesco)Fonti consultate il:
