L'UE apre un procedimento DSA contro Booking.com per annunci falsi e phishing

La Commissione europea ha aperto il 21 ottobre un procedimento formale contro Booking.com ai sensi del Digital Services Act (DSA). Bruxelles sospetta che la piattaforma non abbia valutato né contenuto adeguatamente i rischi degli annunci di alloggi falsi e del phishing che sfrutta i dati di prenotazione degli ospiti. Un terzo filone riguarda gli annunci messi in evidenza a pagamento ma non chiaramente indicati come pubblicità.

«Gli europei devono poter prenotare le vacanze senza essere truffati», ha dichiarato Henna Virkkunen, vicepresidente esecutiva della Commissione per la sovranità tecnologica, riferisce heise. Booking.com è una piattaforma online di dimensioni molto grandi ai sensi del DSA da aprile 2023, cioè ha più di 45 milioni di utenti mensili nell'UE. Se le violazioni saranno confermate, rischia una multa fino al 6% del fatturato annuo mondiale.

Cosa esaminerà Bruxelles

Il primo filone sono gli annunci falsi: alloggi inesistenti, finti hotel che si spacciano per quelli veri e offerte contrarie alle norme locali. La Commissione verificherà se Booking.com ha valutato questi rischi e rimosso efficacemente tali annunci. Secondo heise, in Spagna sono comparsi di recente annunci per alloggi che non esistevano affatto.

Il secondo filone tocca da vicino il portafoglio degli ospiti. La Commissione esaminerà come i dati di prenotazione e degli ospiti vengono condivisi con le strutture, come è progettato il servizio di messaggistica di Booking.com e se esistono tutele sufficienti per impedire che quei dati vengano usati per phishing e richieste di pagamento fraudolente. Il terzo filone è la pubblicità: un hotel può salire nei risultati pagando una commissione più alta, e il DSA impone che l'utente veda chiaramente che si tratta di pubblicità e chi l'ha pagata.

Le presunte violazioni rientrano negli articoli 34 e 35 del DSA sui rischi sistemici e nell'articolo 26, paragrafo 1, sulla trasparenza pubblicitaria. Il caso segue richieste formali di informazioni inviate il 23 settembre 2025 e il 26 maggio 2026. Non c'è una scadenza: la Commissione può inviare nuove richieste, sentire dipendenti, svolgere ispezioni, imporre misure provvisorie o accettare impegni dall'azienda. Booking.com ha detto alla dpa di «collaborare pienamente». La stessa procedura è già in corso contro altre piattaforme, come TikTok per gli account dei minori.

Come la truffa arriva agli ospiti

Ad aprile 2026 Booking.com ha avvisato i clienti che «terzi non autorizzati» avevano avuto accesso ai dati delle prenotazioni: nomi, indirizzi email e postali, numeri di telefono e dettagli del soggiorno. Secondo Malwarebytes, i criminali sono entrati attraverso hotel partner e non tramite Booking.com stessa. Microsoft attribuisce attacchi al personale alberghiero a un gruppo che chiama Storm-1865, che installava malware di accesso remoto tramite finte pagine CAPTCHA.

Con le credenziali di un hotel, il truffatore scrive agli ospiti direttamente nella chat della piattaforma. L'Ufficio federale svizzero della cibersicurezza (UFCS) ha descritto a giugno due varianti. Nella prima, «Booking.com» o «l'hotel» offre su WhatsApp un rimborso o un cashback per un errore. Nella seconda, all'ospite si dice che la prenotazione sarà cancellata se non verifica subito la carta o non versa un acconto. Entrambe portano a una falsa pagina di pagamento che raccoglie i dati della carta.

Cosa aiuta, secondo l'UFCS e Booking.com:

• Non fidatevi di un messaggio solo perché cita le vostre date, l'hotel e la camera: sono proprio i dati trapelati.
• Non aprite link in messaggi su rimborsi, «verifiche» o pagamenti urgenti, nemmeno nella chat di Booking.com.
• Controllate quanto e quando pagare nella conferma di prenotazione, nell'app o sul sito che aprite voi stessi.
• Nel dubbio, chiamate l'hotel a un numero che cercate voi. Un rimborso non richiede mai le vostre credenziali né la scansione di un codice QR.
• Se avete già inserito i dati della carta, chiamate la banca e fatela bloccare.