Il turismo online cresce, ma la sicurezza delle email ad esso connesse si muove nella direzione opposta. È quanto emerge da una nuova ricerca di Proofpoint, secondo cui il 30% dei principali siti di viaggio online in Italia non implementa nemmeno le misure di cybersecurity più elementari, esponendo di fatto quasi la metà dei viaggiatori italiani al rischio di frodi condotte via email. L'analisi si basa sull'adozione del protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) da parte delle 20 piattaforme di viaggio più popolari del Belpaese, individuate attraverso la classifica stilata da eCommerce Italia a maggio 2026.

Il problema di amplia con l’aumentare del volume d’affati, che è in piena espansione. Secondo lo studio Mastercard eCommerce Insights, gli acquisti online in Italia sono cresciuti del 14% nel 2025, e sono proprio i viaggi e l’hospitality a figurare tra i settori trainanti della crescita. Insieme ai marketplace generalisti, il turismo pesa oggi per circa il 40% della spesa online complessiva degli italiani, che attraverso queste piattaforme acquistano biglietti aerei e ferroviari, prenotano hotel, B&B e case vacanza, noleggiano auto, sottoscrivono assicurazioni di viaggio, pacchetti vacanza ed esperienze. Proprio l'entusiasmo dei consumatori nel pianificare le proprie vacanze è una tendenza che secondo Proofpoint costituisce il terreno fertile per chi sfrutta l'email come vettore di attacco.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Ricordiamo che DMARC è il protocollo di autenticazione email ideato per proteggere i domini dalle attività criminali, mediante la verifica dell'identità del mittente. Sono previsti tre livelli di protezione progressivi, dal monitoraggio alla quarantena, fino al blocco effettivo del messaggio, così che non raggiunga nemmeno la casella di posta. È proprio su questo terzo livello che la ricerca individua il divario più ampio tra ciò che le aziende del settore dichiarano di fare e ciò che effettivamente proteggono.

Più nel dettaglio, il 70% delle piattaforme turistiche italiane analizzate ha pubblicato un record DMARC di base: il restante 30% non adotta alcuna misura per impedire alle email fraudolente di raggiungere i clienti. Il dato è in peggioramento rispetto al 75% registrato nel 2025. Il secondo dato riguarda il blocco effettivo dei messaggi dannosi: solo il 45% delle 20 piattaforme turistiche più popolari in Italia lo attua, che è una percentuale in linea con quella registrata un anno fa. Significa che oltre la metà dei principali operatori del turismo online italiano ha attivato un primo livello di monitoraggio DMARC, non ha completato il percorso fino al blocco effettivo dei messaggi sospetti.

Le tattiche più ricorrenti osservate dai ricercatori Proofpoint comprendono false conferme di prenotazione, offerte presentate come irresistibili e richieste urgenti di pagamento per presunti aggiornamenti di volo mai avvenuti. Si tratta di messaggi costruiti appositamente per replicare fedelmente lo stile, il tono e persino la grafica delle comunicazioni ufficiali dei brand del turismo, e per questo rappresentano una grave minaccia per i viaggiatori: un occhio non allenato fatica a distinguerli, soprattutto quando l'utente è in attesa di ricevere proprio quel tipo di comunicazione da parte dell'agenzia o della compagnia con cui ha prenotato.

Le raccomandazioni per i viaggiatori

Proofpoint ha fornito una serie di indicazioni pratiche rivolte direttamente ai consumatori che prenotano e gestiscono i propri viaggi online. La prima riguarda la protezione degli account per i siti di prenotazione, mediante l'uso di password complesse e univoche, anche con l'attivazione dell'autenticazione multifattore ove disponibile.

Segue l'invito a diffidare delle offerte di viaggio non richieste che sono presentate come troppo vantaggiose per essere autentiche. La raccomandazione è di prenotare sempre attraverso i canali ufficiali o tramite agenti di viaggio verificati. Un'altra indicazione riguarda le email di phishing e gli SMS di smishing relativi a presunte modifiche ai voli, conferme di prenotazione o richieste legate a documenti di viaggio che sollecitano un'azione urgente o la comunicazione di dati personali, spesso mediante indirizzamento verso pagine di login false. È fortemente raccomandato di non cliccare direttamente sui link contenuti in email non richieste, messaggi sui social o annunci pop-up. L'ultimo consiglio riguarda la ricerca di informazioni sull'azienda, la lettura di recensioni indipendenti e il controllo di eventuali reclami di altri clienti, che possono sventare una truffa prima di arrivare alla fase di pagamento.