Se stai pianificando un soggiorno e stai cercando un hotel o un B&B su Booking.com, leggi prima questo articolo. Perché potrebbe salvarti il conto in banca.

Tiberio Cosmin — comico e creator (lo trovate sul sul sito web e sul suo profilo Instagram) ha raccontato in un video la sua esperienza diretta con una truffa architettata nei minimi dettagli, che sta colpendo turisti italiani e stranieri in tutta Roma (ma potenzialmente ovunque). Una storia che fa paura proprio perché parte da dentro la piattaforma stessa.

Come funziona: semplice, elegante, devastante

I truffatori non creano profili falsi dal nulla. Hackerano profili reali già presenti su Booking.com, quelli con recensioni positive, foto belle, storico credibile. Ci inseriscono annunci di strutture, o camere o B&B inesistenti, con prezzi competitivi e immagini attraenti. Il fatto che ci troviamo su un profilo rodato, su Booking.com, non fa scattare nessun campanello d’allarme.

Tu prenoti. Paghi. Ricevi conferma.

Fin qui tutto normale. Il problema arriva subito dopo: attraverso la chat ufficiale di Booking.com — sì, quella vera, quella con il bollino della piattaforma — ti arriva un messaggio. Ti chiedono di cliccare su un link per “confermare i dati della carta” e garantire il soggiorno. Il link è di phishing (un’esca che porta a una truffa). Se ci clicchi e inserisci i numeri della tua carta, quei soldi spariscono. Non li rivedi più.

Cosmin si è salvato per un pelo: il sistema di sicurezza del suo iPhone ha bloccato il link prima che potesse aprirsi. Non tutti hanno avuto la stessa fortuna. Tuttavia, non si è salvato da un viaggio a vuoto che raccontiamo qui di seguito.

All’indirizzo indicato c’è un negozio di riparazioni

Sì, perché quando è arrivato all’indirizzo indicato dalla prenotazione — una zona vicino al Colosseo, piena di turisti — al posto del B&B ha trovato un negozio di riparazioni elettroniche. Il proprietario del negozio, a quel punto, non si è nemmeno stupito. Gli ha detto che nelle ultime 48 ore si erano presentate alla sua porta oltre 200 persone con la stessa storia. Duecento persone. In due giorni. In un solo indirizzo.

Capite la scala del problema?

Booking rimborsa la prenotazione. Ma non i soldi rubati.

Ecco il punto più amaro di tutta la vicenda. Booking.com rimborsa il costo della prenotazione — quella che hai fatto sulla piattaforma — perché tecnicamente il servizio non è stato erogato. Corretto.

Ma i soldi sottratti tramite phishing? Quelli che ti hanno sfilato dal conto bancario dopo che hai inserito i dati della carta sul link truffaldino? Su quelli Booking non può fare nulla. Non è una questione di volontà: il furto avviene fuori dai sistemi della piattaforma, attraverso un sito esterno. A quel punto entrano in gioco la tua banca, la polizia postale, e tanta, tanta sfortuna.

Come difendersi: le regole d’oro

La buona notizia è che difendersi è possibile, se sai cosa cercare.

* Non cliccare mai su link ricevuti via chat, nemmeno se sembrano arrivare dalla piattaforma ufficiale. Booking.com non ti chiederà mai di reinserire i dati della carta dopo una prenotazione già completata.

* Verifica sempre l’indirizzo della struttura su Google Maps prima di partire. Se al posto del B&B c’è un negozio o un ufficio, lascia perdere, o chiedi maggiori informazioni.

* Attiva i blocchi di sicurezza sul tuo smartphone per i link sospetti.

* Se ricevi richieste anomale, contatta direttamente il supporto Booking tramite il sito ufficiale, non tramite i link che ti arrivano in chat.

* In caso di truffa, chiama subito la tua banca per bloccare la carta e sporgi denuncia alla Polizia Postale.

Il sistema che non protegge chi dovrebbe proteggere

Ma come fanno i truffatori a far partire così tante prenotazioni contemporaneamente, per le stesse date, e a inviare così tanti messaggi di phishing dalle chat di Booking.com? Vuol dire che hanno accesso a profili reali, verificati, attivi. ma vuole anche dire che il sistema di controllo della piattaforma potrebbe fare onestamente di meglio. Nessun allarme può proteggerti se sei tu a fare entrare il ladro in casa, ma una volta che è dentro, si potrebbe riconoscere dei pattern di comportamento e sollevare perlomeno degli alert. Se 200 persone si sono recate nel giro di 48 ore allo stesso indirizzo della stessa struttura fantasma, significa che sono state raccolte centinaia di prenotazioni per le stesse date, con un artifizio che è necessario comprendere, ma che rappresenta oggettivamente una lacuna dei sistemi di controllo interni del sito.

Booking.com è una multinazionale da miliardi di euro. I turisti truffati a Roma sono persone comuni che hanno perso i risparmi di una vacanza — quando va bene. Qualcuno forse ha perso molto di più.

La domanda finale è semplice: quando una piattaforma viene usata come veicolo per frodare i propri utenti, chi paga il conto? Sempre e solo noi. Come al solito.

Fonti:

• https://media.byoblu.com/video/video-by-tiberio-cosmin.mp4