2.291 attacchi informatici settimanali per organizzazione nel settore alberghiero, viaggi e tempo libero a maggio 2026 (+24% rispetto allo stesso mese dell'anno passato, a fronte di una crescita media globale, su tutti i settori, ferma al 2%). 47.318 nuovi domini legati al mondo dei viaggi registrati nel solo mese di maggio (+33% rispetto ad aprile). Sono questi i numeri diffusi da Check Point Research nel report dedicato alle minacce in vista della stagione turistica estiva 2026.

È la traiettoria pluriennale del fenomeno a preoccupare: da maggio 2023 a maggio 2026 il volume medio di attacchi settimanali per organizzazione nel comparto travel è passato da 1.032 a 2.291, con una crescita del 122% in tre anni. La progressione, ricostruita dai ricercatori su base annua, mostra un'accelerazione costante: 1.242 attacchi settimanali a maggio 2024, 1.843 a maggio 2025, fino al picco più recente. Per Check Point Research siamo davanti a un'intensificazione deliberata e stagionale, calibrata sui mesi in cui il settore elabora i volumi più alti di dati personali e finanziari, mentre chi viaggia è distratto, ha fretta e cerca un'offerta conveniente.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Il fronte delle registrazioni di dominio racconta la stessa dinamica da un'angolazione diversa. Dei nuovi domini registrati a maggio, uno su 112 è già classificato come malevolo o sospetto al momento della registrazione. Molti altri restano inattivi, pronti a essere attivati quando il traffico estivo raggiungerà il picco stagionale, rivelando la pianificazione anticipata delle campagne di attacco, con un approccio simile a quella delle aziende legittime che preparano le proprie campagne di vendita.

Analizzando i dati di aprile e maggio, Check Point Research ha isolato tre campagne coordinate di registrazione massiva. La prima ruota attorno a oltre 210 domini con nomi di hotel numerati in sequenza, probabilmente operata da un unico threat actor che ha usato l’automazione e un'infrastruttura di phishing su larga scala, pronta a essere dispiegata in blocco. La seconda campagna si spaccia per American Express e per Lloyds Travel Choice (affiliata di Lloyds Bank), con esche costruite attorno a premi di viaggio; i domini combinano nomi di marchi finanziari riconoscibili con parole chiave come "happytrip" e "travelchoice" si appoggiano a risorse spesso utilizzate per operazioni di phishing di breve durata. La terza campagna prende di mira il marchio Fora Travel con 108 Top-Level Domain distinti volti a moltiplicare i siti simili al brand originale per aumentare le probabilità di intercettare i viaggiatori indipendentemente da cosa digitino nel browser.

I ricercatori hanno individuato anche siti di phishing già attivi che si spacciano per i nomi più affidabili nelle prenotazioni online. Il dominio bookingni[.]com riproduce la pagina di login di Booking.com per rubare credenziali e dati della carta di pagamento. Una campagna correlata, che comprende anche booking-cn[.]com, booking-hk[.]com, booking-jp[.]com e booking-zh[.]com, moltiplica le varianti del dominio con homepage localizzate e un banner promozionale per i saldi estivi di metà anno, tarato per comparire proprio nel picco delle prenotazioni".

Un'altra campagna, costruita sul dominio airbnb-ca[.]com, applica un targeting geografico mirato ai viaggiatori diretti in Canada, con immagini delle Montagne Rocciose e annunci di alloggi a Montreal, Toronto, Vancouver e Banff. Diversi domini che sfruttano il nome Skyscanner, tra cui skyscanners[.]shop e skyscanners[.]life, pubblicano invece offerte alberghiere con prezzi in prevendita apparentemente autentiche in località turistiche malesi, con l'obiettivo di riscuotere acconti che non danno seguito ad alcuna prenotazione reale.

Come difendersi

Check Point Research indica alcune buone pratiche di cyber igiene: digitare direttamente nel browser gli indirizzi dei siti di prenotazione, evitando i link contenuti in email o annunci pubblicitari. Verificare attentamente il dominio prima di inserire dati di accesso o di pagamento; privilegiare la carta di credito rispetto alla carta di debito per le prenotazioni online. Abilitare l'autenticazione a due fattori sugli account delle piattaforme di viaggio e diffidare delle offerte che appaiono urgenti o troppo vantaggiose.