Gli acquisti online nel settore turistico continuano a registrare numeri in crescita, rappresentando insieme ai marketplace una quota fondamentale della spesa digitale complessiva degli italiani. Tuttavia, l’aumento delle prenotazioni online porta con sé un’esposizione crescente ai rischi d’attacco informatico. Una recente analisi condotta da Proofpoint sulle 20 principali piattaforme di viaggio online operative in Italia evidenzia un significativo ritardo nell’adozione dei protocolli di sicurezza per la posta elettronica, lasciando un’ampia platea di utenti esposta a potenziali truffe.
Lo stato della sicurezza: il protocollo DMARC sotto la lente
Il protocollo DMARC (Domain-based Message Authentication, Reporting and Conformance) è il sistema di autenticazione progettato per verificare l’identità del mittente e impedire ai criminali informatici di inviare email fraudolente utilizzando i domini ufficiali delle aziende. Il sistema prevede tre livelli di protezione progressivi: monitoraggio, quarantena e reject (rifiuto), con quest’ultimo che rappresenta il livello più efficace in quanto blocca direttamente la consegna dei messaggi non autenticati alla casella del destinatario.
Dallo studio emergono criticita importanti sia sull’adozione di base sia sull’efficacia delle misure attuate:
- Assenza di protezione base: Il 30% dei principali siti di viaggio in Italia non ha pubblicato alcun record DMARC di base. Questo dato indica che quasi un terzo delle piattaforme non adotta alcuna misura preventiva per impedire l’invio di email ingannevoli a proprio nome.
- Carenza della protezione massima (Reject): Solo il 45% delle piattaforme analizzate applica la policy DMARC con livello “reject”. Il restante 55% lascia che le email non autenticate arrivino comunque nelle caselle di posta dei clienti, dei dipendenti e dei partner, aumentando il rischio di attacchi basati sulla contraffazione dell’identità del brand.
[Grado di Adozione della Sicurezza Email]
POLICY REJECT (Massima Protezione) ───> 45% delle Piattaforme
│
▼
PROTEZIONE INSUFFICIENTE O ASSENTE ───> 55% delle Piattaforme (Rischio Spoofing)
La dinamica delle truffe nel settore turistico
La combinazione tra l’elevato valore economico delle transazioni e il forte coinvolgimento emotivo dei consumatori rende il settore turistico un bersaglio d’elezione per gli attori malevoli. Durante i periodi di picco delle prenotazioni, il volume massiccio di comunicazioni e promozioni inviate dalle agenzie facilita la diffusione di tecniche di ingegneria sociale.
Le tattiche d’attacco più frequenti includono l’invio di false conferme di prenotazione, la notifica di promozioni eccezionali o la richiesta urgente di pagamenti per presunti aggiornamenti operativi (come i cambi di volo). I messaggi ingannevoli vengono strutturati per apparire identici alle comunicazioni ufficiali, inducendo i viaggiatori a condividere credenziali o ad effettuare trasferimenti di denaro verso conti fraudolenti.
Come sottolineato da Matt Cooke, cybersecurity strategist di Proofpoint, l’adozione completa della tecnologia DMARC con policy “reject” rappresenta una responsabilità per le aziende del settore, in quanto consente di proteggere simultaneamente i consumatori e la reputazione del marchio.
Raccomandazioni di sicurezza per i consumatori
Per ridurre l’esposizione alle truffe di phishing e smishing durante la fase di prenotazione e gestione dei viaggi online, gli esperti suggeriscono una serie di buone pratiche comportamentali:
- Rafforzare la sicurezza degli account: Utilizzare password complesse e univoche per ogni piattaforma e attivare l’autenticazione a più fattori (MFA) ove disponibile.
- Verificare la genuinità delle offerte: Diffidare di proposte commerciali via email particolarmente vantaggiose e verificare che la navigazione avvenga sui canali ufficiali o tramite agenti verificati.
- Evitare la consultazione tramite link diretti: Non cliccare sui collegamenti ipertestuali presenti in messaggi non richiesti, SMS o annunci pop-up. È consigliabile digitare manualmente l’indirizzo del sito nella barra del browser.
- Prestare attenzione alle richieste urgenti: Analizzare con cautela comunicazioni che richiedono inserimenti immediati di dati o modifiche di pagamento per presunte variazioni sui servizi prenotati.
- Consultare recensioni e reputazione del servizio: Prima di procedere con transazioni su piattaforme poco note o scaricare nuove applicazioni, verificare la presenza di recensioni indipendenti ed eventuali segnalazioni da parte degli utenti.
