Le autorità italiane si trovano ad affrontare una delle più estese violazioni di dati personali mai registrate nel settore alberghiero nazionale. Un criminale informatico che si fa chiamare mydocs ha messo in vendita su forum illegali quasi 100.000 documenti di identità rubati dai sistemi di prenotazione di hotel italiani, inclusi passaporti e carte d'identità di ospiti che hanno soggiornato in queste strutture tra giugno e agosto. L'Agenzia per l'Italia Digitale (AGID) ha confermato mercoledì l'autenticità delle affermazioni del cybercriminale, dopo aver intercettato una vendita illegale dei documenti in questione.
Dieci hotel coinvolti, ma il numero potrebbe salire
Secondo l'ultimo aggiornamento dell'AGID, dieci strutture alberghiere risultano attualmente compromesse, anche se gli esperti non escludono che nelle prossime ore possano emergere ulteriori casi. La dimensione dell'attacco solleva interrogativi sulla reale portata del fenomeno, considerando che alcuni dati sembrano coprire potenzialmente anni di soggiorni.
Un caso emblematico è quello del Borghese Contemporary Hotel, una struttura a quattro stelle di Roma con soli 24 posti letto. Nonostante le dimensioni ridotte, mydocs afferma di aver trafugato oltre 7.000 documenti collegati a questa singola struttura, suggerendo che l'attacco possa aver coinvolto archivi storici di diversi anni.
La conferma delle autorità alimenta nuove preoccupazioni
A differenza di molte millanterie che circolano sui forum criminali, questa volta le affermazioni del cybercriminale hanno trovato riscontro ufficiale. L'AGID ha infatti verificato l'autenticità dei dati intercettando direttamente le transazioni illegali, un fatto che rende la situazione particolarmente grave.
Il Garante per la Protezione dei Dati Personali (GPDP) ha confermato che alcune strutture alberghiere si sono già autodenunciate alle autorità. L'organismo di controllo ha avviato un'indagine formale sui furti e ha raccomandato a tutte le strutture ricettive di segnalare tempestivamente eventuali anomalie per proteggere la privacy dei dati e notificare agli ospiti interessati eventuali violazioni, come previsto dalla legge.
I rischi per gli ospiti coinvolti
L'AGID ha lanciato un allarme specifico sui possibili utilizzi fraudolenti dei documenti trafugati. "Questi dati, una volta rubati, possono essere utilizzati per scopi fraudolenti: dalla creazione di documenti falsi all'apertura di conti bancari, fino ad attacchi di social engineering e furto di identità digitale, con conseguenze potenzialmente gravi per le vittime, sia dal punto di vista finanziario che legale", si legge nell'avviso dell'agenzia.
Le autorità hanno inoltre messo in guardia il pubblico da possibili truffe mirate che potrebbero colpire le vittime della violazione. Il consiglio per chiunque sospetti che i propri documenti possano essere stati rubati illegalmente è di contattare le strutture ricettive presso cui ha soggiornato per ottenere conferma dell'eventuale compromissione.
Interrogativi ancora aperti sull'attacco
Rimangono ancora senza risposta alcune domande cruciali sull'operazione criminale. Non è chiaro quanto indietro nel tempo risalgano i dati trafugati né attraverso quale metodo specifico sia stato ottenuto l'accesso ai sistemi di prenotazione. Quello che appare evidente è che l'attacco ha avuto una portata significativa, coinvolgendo diverse strutture su tutto il territorio nazionale.
La vicenda rappresenta l'ennesimo campanello d'allarme per il settore turistico italiano, già alle prese con le sfide della digitalizzazione e della protezione dei dati sensibili degli ospiti. Le indagini delle autorità competenti dovranno chiarire le modalità dell'attacco e valutare l'adeguatezza delle misure di sicurezza adottate dalle strutture coinvolte.