La crisi del phishing di Booking dimostra che la fiducia non si può esternalizzare

Un’app di viaggio dovrebbe eliminare l’incertezza, non riproporla al cliente sotto forma di lista di controlli. Eppure è sempre più questo il patto delle prenotazioni online: la piattaforma incassa la commissione e controlla il marketplace, mentre il viaggiatore deve stabilire se una struttura esiste davvero, se un messaggio è autentico e se una richiesta di pagamento è sicura. La nuova indagine della Commissione europea su Booking.com, quindi, riguarda molto più di una singola azienda. È un test per capire se i marketplace digitali sono disposti a farsi carico dei rischi creati dalla loro stessa comodità.

Il 21 ottobre 2026 la Commissione ha avviato un procedimento formale ai sensi del Digital Services Act per esaminare la gestione, da parte di Booking.com, degli annunci fraudolenti di strutture ricettive, del phishing e della trasparenza delle posizioni sponsorizzate. La piattaforma conta oltre 45 milioni di utenti medi mensili attivi nell’UE e, secondo le notizie sull’indagine europea, ha dichiarato di collaborare pienamente, ribadendo che sicurezza, fiducia e protezione dei dati personali sono tra le sue priorità. L’indagine non accerta alcuna violazione, ma pone la domanda che conta: Booking ha fatto abbastanza prima che gli utenti subissero danni?

“Fai attenzione” non è un sistema di prevenzione delle frodi

L’aspetto più rivelatore di questa vicenda non è che i truffatori si spaccino per i proprietari delle strutture. È un trucco vecchio. Il punto è che possono sfruttare i rapporti, i dati e i canali di messaggistica già esistenti sulla piattaforma per rendere l’inganno credibile. Un annuncio falso, un account di un host violato o un messaggio contenente dettagli reali della prenotazione possono trasformare un utente che tende a non lasciarsi mettere in guardia dagli avvisi in un bersaglio facile.

L’indagine esaminerà come i dati delle prenotazioni e degli ospiti vengono condivisi con le strutture, come funziona il sistema di messaggistica di Booking e se tali modalità offrono una protezione sufficiente contro le richieste di pagamento fraudolente. È proprio qui che i soliti consigli ai consumatori iniziano a perdere efficacia. “Controlla il mittente” è un consiglio debole quando il messaggio arriva all’interno di un contesto di prenotazione considerato affidabile e contiene informazioni che sembrano confermare la prenotazione.

Booking ha dichiarato che le truffe legate ai viaggi sono aumentate del 500% in un periodo di 18 mesi, secondo le notizie sull’indagine europea. I dati di Fraudehelpdesk citati nelle notizie sull’indagine mostrano 1.072 segnalazioni di frode nei Paesi Bassi nella prima parte del 2026, con perdite pari a 82.000 €: dieci volte il numero dei casi segnalati nello stesso periodo dell’anno precedente. Queste cifre non dimostrano che Booking abbia causato ogni singolo episodio. Dimostrano però perché una piattaforma di queste dimensioni non possa trattare le frodi come uno spiacevole effetto collaterale che gli utenti devono imparare a gestire.

I controlli d’identità dovrebbero avvenire prima che l’annuncio arrivi al cliente

La risposta ovvia non è un altro pop-up che invita i viaggiatori a restare vigili. Servono controlli più solidi a monte. La Commissione afferma che valuterà se Booking identifica e rimuove correttamente le strutture inesistenti, le offerte di alloggio non conformi e gli annunci creati tramite impersonificazione. La responsabilità va attribuita al marketplace: è questo a decidere chi può vendere, quale visibilità ottenere e quali comunicazioni raggiungono i clienti.

Nessun sistema d’identità eliminerà ogni truffa. Ma non è una giustificazione convincente per mantenere controlli deboli nel momento in cui una struttura entra nella piattaforma o modifica i propri dati di pagamento. Per noi lo standard dovrebbe essere semplice: più è difficile per un account di un host apparire credibile, alterare informazioni sensibili o contattare un ospite con una richiesta di pagamento, minore sarà il peso scaricato sul viaggiatore.

Ecco perché conta anche la responsabilità. Se una piattaforma trae vantaggio dalla centralizzazione della ricerca, della prenotazione e delle comunicazioni, non dovrebbe rivendicare solo i benefici dell’essere un intermediario considerato affidabile, negando al tempo stesso i costi derivanti dall’abuso di quella fiducia. L’indagine UE ai sensi del DSA è importante perché inquadra le frodi come una questione di rischio sistemico, anziché come una serie di errori isolati commessi da utenti distratti.

La visibilità sponsorizzata rende ancora più difficile valutare la fiducia

La seconda questione — il posizionamento a pagamento — è meno spettacolare del phishing, ma colpisce la stessa base: gli utenti possono capire perché stanno vedendo una determinata struttura? La Commissione sta esaminando se le strutture che pagano commissioni più alte ottengano maggiore visibilità e se tali posizionamenti siano identificati chiaramente come pubblicità. Valuterà anche se gli utenti possano capire chi ha pagato, perché è stato mostrato un annuncio e come modificare le relative impostazioni, come riferisce ANSA.

Può sembrare una disputa distinta sulla trasparenza, ma è collegata. Il posizionamento nei risultati di ricerca appare già come una raccomandazione della piattaforma. Se il pagamento può influire sulla visibilità senza un’etichetta chiara, si chiede all’utente di distinguere la rilevanza dalla priorità commerciale con informazioni incomplete. In un marketplace in cui lo stesso annuncio potrebbe essere fraudolento, questa ambiguità non è un dettaglio estetico. Indebolisce i segnali che le persone usano per decidere di cosa fidarsi.

Le etichette chiare sono il minimo indispensabile, non la soluzione. Booking dovrebbe rendere comprensibile il motivo commerciale della visibilità senza costringere gli utenti a decifrare le note in piccolo o a indovinare perché una struttura preceda un’altra. Un’interfaccia affidabile dovrebbe ridurre l’incertezza nel momento della scelta, non rivelarla dopo che la scelta è stata compiuta.

Il vero perdente è il modello basato sulla comodità

Il pericolo per Booking e per app simili non è soltanto una possibile sanzione normativa. È l’erosione della promessa centrale che ha reso utili questi servizi: inserire una destinazione, scegliere una struttura e pagare con tranquillità. Quando ogni messaggio diventa una possibile trappola e ogni annuncio in evidenza una possibile scorciatoia a pagamento, l’app ha trasferito di nuovo al cliente il lavoro di verifica.

La Commissione può indagare, chiedere informazioni, effettuare ispezioni e richiedere modifiche; il procedimento non ha una scadenza fissa e il suo avvio non presuppone una colpevolezza. Ma la direzione è quella giusta. Alle piattaforme dovrebbe essere chiesto di dimostrare l’esistenza di controlli efficaci sui rischi, non semplicemente di pubblicare consigli dopo che le truffe si sono diffuse.

Il nostro verdetto è semplice: i viaggiatori devono restare prudenti, ma non dovrebbero diventare il principale livello di rilevamento delle frodi per un marketplace che non possono sottoporre a verifica. Booking ha bisogno di controlli più solidi sugli host e sugli account, di meccanismi più sicuri per gestire i dati delle prenotazioni e i messaggi di pagamento, oltre che di etichette pubblicitarie inequivocabili. Gli avvisi sono utili. Non sostituiscono la responsabilità.