La camera è già pronta

Ho ricevuto un messaggio WhatsApp dal mio hotel.
Tutti i dettagli erano giusti. La data. La camera. Il mio nome, scritto correttamente.

Era falso.

Questa volta parliamo del breach di Booking.com confermato il 13 aprile 2026. Parliamo di quello che c'è sotto: una filiera criminale industrializzata che non ha bucato Booking, ha bucato il receptionist di un B&B ad Anzio.

ClickFix. Storm-1865. PureRAT. Un mercato underground con listino prezzi pubblicato. Un account che si chiama moderator_booking e dichiara $20M guadagnati "in questo campo".

Rita aka PiGreco chiama DarkHash. DarkHash spiega tutti.
Il bar di Gigi non ha l'aria condizionata, ma ha i ventilatori.

Racconto + nota tecnica completa + 21 fonti nei commenti.

Roma, aprile. L’inizio del caldo, quel tipo di caldo che arriva prima del tempo e non chiede scusa, si installa sulla città come un ospite indesiderato convinto di essere il benvenuto, trasforma il selciato in una superficie riflettente e l’aria in qualcosa di visibile, quasi materico, una sostanza che unita allo smog metropolitano si respira con consapevolezza e un certo sforzo. Indifferenti a tutto questo le fontane del centro continuano a funzionare come se niente fosse, solo i colombi e i gabbiani sembra che si muovano più lenti del solito. Quando cala il caldo i romani comprendono che affrettarsi conviene solo fino ad un certo punto, solo il traffico diventa più nervoso.

Il bar di Gigi non ha l’aria condizionata, non l’aveva mai avuta, e Gigi sostiene che i ventilatori siano più che sufficienti. Ne ha tre a parete, di metallo, enormi che muovono l’aria a 2 metri d’altezza con le pale ricoperte da una patina di antico che Gigi non aveva mai rimosso e che probabilmente considerava parte dell’arredamento storico. Gigi le aveva viste in america latina e si era convinto che erano migliori. L’aria condizionata rammollisce, diceva, come se la fisiologia umana fosse una questione di carattere nazionale e non di termodinamica. E loro oscillano, lenti, ritmici, spostando aria tiepida da una parte all’altra del locale con la rassegnazione di chi sa che non cambierà niente ma che imperterrito continua lo stesso, per rispetto del metodo se non del risultato.

Rita era seduta al tavolo in fondo, quello vicino alla finestra che non si apriva del tutto, incastrata da un cardine rotto che nessuno aveva mai riparato. Portava un vestito leggero, bianco con piccoli fiori arancioni, la stoffa sottile come carta velina, il tipo di indumento che su un corpo diverso sarebbe stato innocuo e su quel corpo in quel caldo diventava una questione di fisica, di attenzione e di autodisciplina altrui. Era atletica, con quella tonicità che non è ornamentale ma racconta qualcosa di concreto e regolare, braccia scoperte e definite sulle quali i tatuaggi non erano decorazione ma cronologia: una fenice grande sul destro, le ali aperte dal gomito alla spalla, arancio e nero, come se qualcuno avesse voluto mettere in chiaro da subito che le cose che bruciano poi rinascono, e sul sinistro π con i decimali irrazionali che giravano intorno all’avambraccio, inchiostro scuro su pelle chiara, una serie di numeri incomprensibili ai più ma che non avevano bisogno di spiegarsi. Le unghie rosse, gli orecchini d’oro piccoli, a lobo, il tipo che non si toglie mai. I capelli ramati, quella sfumatura accesa che la luce artificiale tradisce verso il castano ma dal vivo non lascia dubbi, una fiamma tenuta bassa ma non spenta, raccolti in una treccia pesante portata su una spalla, con una matita di grafite infilata alla base, vera, usata, con la punta consumata di chi annota cose sui margini dei report tecnici e non usa mai le app per farlo. PiGreco è napoletana, e lo si capisce non dall’accento che aveva imparato a modulare negli anni romani e milanesi, ma da quel modo di occupare lo spazio, quella consapevolezza totale di sé che a Napoli non si insegna perché non ce n’è bisogno, si assorbe dall’aria, dai vicoli, da una tradizione millenaria di donne che sanno esattamente quanto valgono e non lo chiedono in conferma a nessuno. PiGreco, la chiamavano. Crittografa. Specializzata in analisi di protocolli e in quella categoria di problemi in cui la matematica e il comportamento umano si intersecano producendo risultati imbarazzanti per almeno una delle due parti. Le piaceva l’idea che il rigore formale e l’estetica non si escludessero. Li praticava entrambi con la stessa precisione consapevole, e sapeva esattamente in quali proporzioni usarli e quando.

Francesco era dall’altra parte del tavolo con un caffè freddo che non era più freddo da almeno venti minuti. Ogni tanto lo spostava da una mano all’altra come se il problema fosse la posizione. Abbigliamento solito: sneakers, jeans e maglietta. Paolo stava in piedi vicino al bancone, parlava con Gigi di qualcosa che non riguardava né la cybersecurity né il breach di Booking né le campagne di infostealing sull’hospitality europeo, e per questo sembrava per la prima volta quella mattina una persona ragionevolmente serena. Anche lui in abbigliamento casual. L’abbigliamento casual aveva sostituito da tempo la giacca e la cravatta un po’ per tutti, con il caldo poi …

Rita aveva il telefono in mano. Guardava lo schermo con quella concentrazione silenziosa che in lei precedeva sempre una conclusione, non un’elaborazione perché le conclusioni arrivavano già formate, quello che si vedeva dall’esterno era solo il momento in cui decideva come formularle.

Booking, disse infine, senza alzare gli occhi.

Francesco aspettò.

Tredici aprile, disse Rita. Hanno confermato. Nomi, indirizzi email, numeri di telefono, dettagli completi delle prenotazioni, i messaggi privati scambiati con le strutture ricettive attraverso il canale interno della piattaforma. Dati di contatto sufficienti a costruire qualsiasi tipo di comunicazione personalizzata. Non dicono quante persone coinvolte. Non dichiarano il vettore d’ingresso. Non precisano da quanto tempo l’accesso fosse attivo prima del rilevamento. Il comunicato stampa, disse, era redatto con quella cura artigianale che si mette nelle cose che devono dire il minimo possibile nel massimo numero di parole disponibili. Una piattaforma da ventitré virgola sette miliardi di fatturato nel 2024. Più di un miliardo di notti prenotate nello stesso anno. Centinaia di milioni di utenti attivi. E una notifica che non dice niente di sostanziale.

Gigi si girò da dietro il bancone, aveva sentito. Io uso le agenzie, disse. Quelle fisiche. Con la signora che stampa i fogli e li mette in una cartellina plastificata.

Nessuno rispose, perché non c’era niente da aggiungere a una posizione così strutturalmente corretta.

Rita posò il telefono sul tavolo, fece scorrere lentamente un dito lungo la treccia dalla base verso la punta, un gesto automatico che faceva quando stava elaborando qualcosa che non tornava, poi riprese il telefono in mano. Devo chiamare qualcuno, disse.

Francesco capì subito chi. Anche Paolo capì, e tornò a parlare con Gigi delle disfunzioni della linea B della metropolitana, argomento inesauribile e privo di implicazioni operative critiche.

La linea squillò tre volte. Poi la voce di DarkHash, piatta, leggermente distante, con quella qualità asciutta di chi risponde a numeri non in rubrica con la stessa neutralità con cui legge un log di sistema alle tre di mattina.

Sono io, disse Rita.

So chi sei, disse DarkHash.

Booking, disse Rita.

Un momento di silenzio che non era esitazione ma selezione, la differenza tra chi non sa cosa dire e chi sta scegliendo il punto di partenza giusto in una mappa molto affollata. Poi disse, Ho visto.

Dimmi la parte che non c’è nei comunicati stampa.

Il ventilatore oscillò. Rita appoggiò il gomito sul tavolo, il mento sulla mano aperta, la postura di chi si prepara ad ascoltare qualcosa di lungo e lo sa già. Il vestito bianco seguì il movimento con quella trasparenza lieve che il caldo rendeva leggermente insufficiente. Il π sull’avambraccio sinistro catturò la luce del ventilatore che passava e la tenne un secondo, come se anche lui stesse ascoltando. Francesco guardò il suo caffè freddo.

Il punto, disse DarkHash, non è Booking. Booking è il palcoscenico, la superficie visibile, quello che vede l’utente finale che prenota la camera e aspetta la conferma email. L’attacco reale è qualche livello prima, in un posto molto meno glamour e molto più vulnerabile.

Prosegui, disse Rita.

Il vettore sono gli hotel partner, disse DarkHash. Non le grandi catene con i SOC dedicati e i team di incident response. I piccoli, i medi, il B&B ad Anzio con quattro camere e un portale di gestione prenotazioni che gira su un laptop Windows condiviso tra il proprietario, la moglie e la figlia che viene ad aiutare nei weekend. Questi hotel hanno accesso all’extranet di Booking, tecnicamente , vedono i dati completi degli ospiti, possono mandargli messaggi dal canale ufficiale della piattaforma con il logo, il layout, tutto. E sono quello che tecnicamente si chiama un anello debole, che è un eufemismo educato per dire che sono la porta aperta sul retro di un edificio che dal fronte sembra blindato.

Come entrano, disse Rita. Non era una domanda, era un invito a procedere con ordine.

Spearphishing, disse DarkHash, come al solito. Prima di tutto devi comprare la materia prima e la materia prima sono i contatti dei manager alberghieri. Li trovi sui forum di lingua russa: LolzTeam, WWHClub, Exploit.in. I prezzi partono da dieci dollari per database di indirizzi email in bulk. Migliaia di target per una cifra che non coprirebbe un pranzo decente a Prati. Fatto questo invii la mail. Il mittente sembra Booking.com, il dominio è quasi giusto, una lettera spostata, un trattino aggiunto, una variante che passa il controllo visivo rapido di chi sta gestendo tre check-in contemporaneamente. Il contenuto varia, disse, e qui c’è una certa creatività operativa che va riconosciuta anche se fa schifo riconoscerla: a volte è una recensione negativa di un ospite che richiede risposta urgente, a volte è una richiesta di prenotazione last minute con domande particolari, a volte è un’opportunità promozionale, un badge di qualità, una certificazione della piattaforma. Qualcosa che suona come un’opportunità e non come una minaccia. Dentro c’è un link.

Rita non disse niente. La treccia rossa le scivolò leggermente in avanti sulla spalla. Lei non la spostò. Francesco la guardò pensando che Toby Gard poteva benissimo essersi ispirato a lei per il suo celeberrimo personaggio.

Il link, disse DarkHash, non porta direttamente alla pagina malevola. Passa prima attraverso un Traffic Distribution System, un TDS commerciale che serve a filtrare le richieste: blocca i bot, le sandbox conosciute, le VPN usate dai ricercatori di sicurezza, tutto quello che potrebbe identificare e smontare l’infrastruttura prima del tempo. Solo le vittime reali arrivano alla destinazione finale, che è una pagina costruita con il logo di Booking, i colori di Booking, la struttura grafica dell’extranet, e nell’URL ci sono parole come o , che sono termini che il personale alberghiero associa al proprio accesso legittimo e quindi abbassano la guardia invece di alzarla. La pagina dà l’illusione di un livello aggiuntivo di verifica della piattaforma. E qui, disse DarkHash, arriva la parte interessante.

Francesco aveva smesso di guardare il caffè. Anche Gigi, dal bancone, aveva abbassato la voce.

La pagina mostra un CAPTCHA, disse DarkHash. Non un CAPTCHA vero. Uno falso, costruito apposta, che usa l’interfaccia grafica familiare per dare istruzioni precise. Dice: dimostra di non essere un robot. Poi le istruzioni: premi Windows più R. Si apre la finestra Esegui di Windows, quella nera, quella che gli utenti normali non aprono quasi mai. Premi CTRL più V. Nella clipboard è già stato scritto un comando, lo ha messo lì la pagina stessa attraverso il browser, un meccanismo che si chiama clipboard hijacking, JavaScript può sovrascrivere il contenuto degli appunti senza che l’utente abbia premuto niente, senza consenso esplicito, senza notifica visibile. Il comando scritto dagli appunti è tipicamente una chiamata a , che è un’utilità Windows legittima per eseguire script HTML e che quindi non attiva i filtri di base. Poi, disse DarkHash, premi Invio.

Silenzio.

Si infettano da soli, disse Rita. Lo disse con quella piattezza specifica che aveva quando qualcosa la colpiva sul serio: non lo stupore rumoroso, ma la valutazione silenziosa di chi ha appena visto una soluzione elegante a un problema che non avrebbe voluto vedere risolto.

Esattamente, disse DarkHash. La tecnica si chiama ClickFix. È emersa in forma strutturata nel 2024 e l’hanno adottata in fretta gruppi molto diversi tra loro: ransomware gang, attori nordcoreani, e anche gruppi legati all’intelligence militare russa, GRU, APT28. Nel caso di Booking la attribuiamo principalmente al cluster che Microsoft traccia come Storm-1865, attivo dal 2023, evoluto nel tempo in modo coerente: prima contro gli ospiti degli hotel direttamente, nel 2024 contro le piattaforme e-commerce, poi di nuovo sull’hospitality con questa variante più sofisticata. Il bello di ClickFix, disse DarkHash, e nella voce c’era quella cosa disturbante che emerge quando si descrive qualcosa che funziona troppo bene, il bello è che elimina l’intera categoria del vettore classico. Non c’è allegato. Non c’è exploit. Non c’è vulnerabilità da patchare. C’è un utente che apre una finestra di sistema perfettamente legittima e ci incolla dentro un comando che ha ricevuto da una pagina web che sembrava il suo pannello di gestione prenotazioni. Niente che un filtro automatico standard intercetti, perché l’utente non ha fatto tecnicamente niente di anomalo.

I payload, disse Rita. Fece scorrere di nuovo un dito lungo la treccia, lentamente, dall’alto verso il basso, senza accorgersene.

Diversi, disse DarkHash, e li elencò con la precisione di chi li conosce uno per uno. XWorm, leggero e difficile da rilevare, keylogging, screen capture, accesso al filesystem, esecuzione remota di comandi arbitrari, lateral movement nella rete locale. Lumma Stealer, scritto in C++ con componenti ASM, obfuscato con virtual machine LLVM, Control Flow Flattening e tecniche di stack decryption personalizzate, Malware as a Service con operatore infrastrutturale separato. VenomRAT, AsyncRAT, Danabot, NetSupport RAT in varie combinazioni a seconda dell’obiettivo. Nella variante documentata da Sekoia a novembre 2025, il payload principale era PureRAT, architettura modulare a plugin, controllo remoto completo, screenshot, keylogging, esfiltrazione credenziali, possibilità di espandere le funzionalità post-infezione come un’applicazione con il suo store interno. Una volta installato, disse DarkHash, l’attaccante ha accesso all’extranet dell’hotel. Vede tutte le prenotazioni attive. Vede i nomi, i contatti, le date, i numeri di camera, i messaggi privati. Ha tutto quello che serve per costruire una comunicazione perfettamente credibile.

E la seconda fase, disse Rita, a mezza voce.

La seconda fase, disse DarkHash, è quella che Sekoia ha chiamato “I Paid Twice” da un oggetto email di una vittima reale. L’attaccante non agisce subito. Monitora le prenotazioni, aspetta, sceglie il momento giusto: quasi sempre due-cinque giorni prima del check-in, quando il viaggiatore è massimamente vulnerabile all’urgenza. Poi manda il messaggio. Dal canale ufficiale di Booking. Con tutti i dati reali. Dice che c’è stato un problema di verifica bancaria, che bisogna riconfermare entro ventiquattro ore o la prenotazione viene annullata automaticamente. Il link porta a un portale che riproduce l’interfaccia di Booking, ospitato su infrastruttura BulletProof in Russia, AS216341, OPTIMA LLC, protetto dallo stesso TDS. Sekoia ha trovato quasi un centinaio di domini su un singolo IP in ottobre 2025. Diverse centinaia di domini malevoli attivi per mesi. Un’operazione industrializzata.

E sul dark web, disse Rita. Cosa vale un accesso.

DarkHash fece una pausa. Sul dark web, disse, un account extranet Booking è una commodity con un listino preciso. I log di hotel piccoli si vendono a partire da cinque-trenta dollari. Hotel di medio livello, qualche centinaio. Gli account di fascia alta, hotel in paesi con alto potere d’acquisto, molte prenotazioni attive, gestione di più strutture: diversi migliaia di dollari per singolo accesso. C’è un account attivo su Exploit.in e LolzTeam, si fa chiamare , compra e rivende log Booking in modo sistematico e nelle sue inserzioni dichiara di lavorare con un team che ha guadagnato oltre venti milioni di dollari in questo campo. Ci sono anche i checker, strumenti automatizzati che testano in bulk le credenziali per verificare quali sessioni sono ancora valide prima della rivendita. I log freschi valgono multipli di quelli stagionati. La freshness è tutto, disse DarkHash, come nei mercati legittimi.

Rita rimase in silenzio. Il ventilatore oscillò. Una ciocca di capelli ramati si liberò dalla treccia e le cadde sulla clavicola, seguendo la curva con quella indifferenza che non era mai del tutto casuale. Lei non la spostò.

Dimmi una cosa, disse. Il perimetro difensivo di Booking.

DarkHash non esitò. Il perimetro difensivo di Booking, disse, è largo quanto la distrazione di un receptionist di Verona che preme tre tasti senza capire perché. Windows più R, CTRL più V, Invio. Una piattaforma da ventitré virgola sette miliardi di fatturato annuo, più di centomila strutture partner in tutto il mondo, più di un miliardo di notti prenotate nel solo 2024, protetta nel suo punto più esposto dall’ultima persona che ha aperto la sua casella di posta un martedì mattina tra un check-in e una telefonata. Non è la prima volta, disse. Nel 2023 erano già dentro con Vidar, un infostealer che si presentava come un ospite che aveva perso i documenti. Nel 2024 qualcuno aveva installato stalkerware fisicamente sui computer degli hotel, roba consumer, e in almeno un caso aveva catturato uno screenshot dell’extranet Booking aperta sullo schermo. Nel 2018 avevano usato il telefono, vishing classico, contro hotel negli Emirati, quattromila clienti colpiti, trecento con i dati della carta di credito esfiltrati. Booking ha notificato quel breach ventitré giorni dopo. Il GDPR dà settantadue ore. Per quella notifica tardiva, nel 2021 l’autorità olandese per la protezione dei dati li ha multati di quattrocentosettantacinquemila euro. È sempre così, disse DarkHash, e nella voce c’era quella stanchezza specifica di chi spiega la stessa cosa da anni senza che cambi niente. La catena è robusta quanto il suo nodo più distratto. Non è una metafora. È un teorema.

Il π sull’avambraccio di Rita sembrò pulsare un secondo, o forse era solo il ventilatore che passava di nuovo.

La chiamata finì.

Rita posò il telefono e rimase immobile un momento, lo sguardo fisso sul bicchiere d’acqua che Gigi aveva portato senza che nessuno lo avesse chiesto. Poi prese la matita dalla treccia, aprì il taccuino, scrisse: Supply chain. ClickFix. TDS. AS216341. moderator_booking, $20M dichiarati. Rimise la matita tra i capelli ramati con quella naturalezza con cui ci si mette in tasca qualcosa di importante.

Paolo tornò al tavolo. Aveva l’aria di chi si aspetta un aggiornamento che probabilmente non vorrà sentire.

Francesco non lo guardò subito. Stava guardando il telefono, che aveva vibrato trenta secondi prima e che aveva aperto senza pensarci, automaticamente, come si fa con i messaggi che arrivano da numeri salvati in rubrica.

WhatsApp. Mittente: Hotel Belvedere Venezia. Il numero era quello giusto. Il messaggio spiegava che a causa di un problema tecnico durante la procedura di verifica bancaria era necessario riconfermare i dati di pagamento entro le successive ventiquattro ore, cliccando sul link allegato, pena l’annullamento automatico della prenotazione. Il link aveva nell’URL la parola e la parola .

Tutti i dettagli erano esatti. La data di arrivo. Il numero di camera. Il suo nome, scritto correttamente.

Paolo guardò il suo viso. Tutto bene?

Francesco alzò gli occhi lentamente. Li posò su Rita.

Ho una prenotazione, disse.

Rita non cambiò espressione. Abbassò gli occhi sul taccuino, aggiunse sotto le note già scritte due parole: Francesco. Belvedere. Poi rimise la matita tra i capelli ramati con un gesto definitivo, come si chiude un file di cui si è capita la struttura.

Non cliccare, disse.

Il ventilatore oscillò. Gigi portò altri tre bicchieri d’acqua che nessuno aveva ordinato.

Nota tecnica

Quello che DarkHash sapeva è verificabile. Ecco le fonti.

Il breach: 13 aprile 2026

Booking.com ha confermato l’accesso non autorizzato a dati di prenotazione il 13 aprile 2026. I dati coinvolti includono nomi, indirizzi email, numeri di telefono, dettagli dei soggiorni e messaggi privati scambiati attraverso la piattaforma. La società non ha dichiarato quanti utenti siano stati coinvolti, quale sia stato il vettore d’ingresso, né per quanto tempo l’accesso fosse attivo prima del rilevamento. I numeri di contesto sono pubblici: 6,8 miliardi di prenotazioni gestite dal 2010, oltre 100 milioni di utenti attivi sull’app mobile, fatturato 2024 di 23,7 miliardi di dollari, 1,1 miliardi di notti prenotate nell’anno.

Il vettore: supply chain via hotel partner

Il pattern documentato non prevede un attacco diretto all’infrastruttura di Booking.com ma la compromissione degli account extranet degli hotel partner, che accedono al portale e possono visualizzare i dati completi degli ospiti e contattarli attraverso il canale ufficiale della piattaforma.

Origine documentata, Vidar infostealer, ottobre 2023. Secureworks ha ricostruito un caso in cui un attaccante ha contattato via email lo staff di un hotel fingendo di essere un ex ospite che aveva perso un documento. Il link nell’email scaricava un archivio ZIP da Google Drive contenente il malware Vidar. Una volta eseguito, Vidar ha esfiltrato le credenziali di accesso all’extranet Booking dell’hotel, inclusi cookie di sessione e password salvate nel browser. Le capacità di Vidar comprendono furto di credenziali da Chrome, Firefox ed Edge tramite accesso diretto ai database locali, cookie di sessione, dati compilati in form, credenziali di wallet cryptocurrency, screenshot e dati da app di messaggistica.

Già nel 2023, guide operative per replicare questo tipo di attacco contro clienti Booking erano in vendita sul forum underground russo XSS.IS.

ClickFix, meccanismo operativo completo

ClickFix è una tecnica di social engineering documentata in forma strutturata dal 2024. È stata adottata da threat actor con profili molto diversi: gruppi ransomware, attori nordcoreani, APT28 del GRU russo. Nel contesto Booking è attribuita principalmente al cluster Storm-1865.

Catena di infezione:

  1. L’attaccante invia una email spearphishing all’hotel con oggetto credibile: “New guest message in reference to your unit”, “New last-minute booking”, segnalazioni di recensioni negative, richieste di verifica account, opportunità promozionali.
  2. Il link nell’email passa attraverso un Traffic Distribution System (TDS)commerciale che filtra bot, sandbox di sicurezza e VPN note, lasciando passare solo le vittime reali.
  3. La landing page riproduce graficamente l’extranet Booking con URL contenenti pattern come o . Mostra un falso CAPTCHA con istruzioni precise.
  4. Le istruzioni: premere Windows + R (apre la finestra Esegui), premere CTRL + V(incolla il comando), premere Invio (esegue il comando). Il contenuto degli appunti è stato scritto automaticamente dalla pagina via clipboard hijacking: JavaScript sovrascrive la clipboard senza consenso esplicito e senza notifica visibile all’utente.
  5. Il comando incollato è tipicamente una chiamata a , utilità Windows legittima per eseguire script HTML, che scarica ed esegue un payload PowerShell remoto. Non ci sono allegati, non ci sono exploit, non ci sono vulnerabilità da patchare. Il filtro automatico non rileva niente di anomalo. L’utente ha eseguito un comando nel terminale come avrebbe potuto fare per mille ragioni legittime.

Storm-1865, profilo e payload

Microsoft traccia questo cluster come Storm-1865, a motivazione finanziaria, attivo dal 2023 con evoluzione tattica documentata:

Payload distribuiti:

  • Lumma Stealer (LummaC2): infostealer scritto in C++ e ASM, offerto come Malware as a Service dall’operatore Storm-2477. Obfuscato con virtual machine LLVM, Control Flow Flattening, stack decryption personalizzata. Ruba credenziali browser, cookie di sessione, wallet crypto, file locali. Nel solo 2025 ha rappresentato la quota maggioritaria dei nuovi incidenti da infostealer monitorati da Microsoft.
  • XWorm: RAT leggero e modulare, keylogging, screen capture, accesso remoto al filesystem, esecuzione di comandi arbitrari, lateral movement. Spesso distribuito in bundle con Lumma nello stesso pacchetto eseguibile.
  • PureRAT (campagna Sekoia): RAT con architettura modulare a plugin, controllo remoto completo, screenshot, keylogging, esfiltrazione credenziali, installazione di componenti aggiuntivi post-infezione.
  • VenomRAT, AsyncRAT, Danabot, NetSupport RAT: varianti usate in combinazione a seconda dell’obiettivo specifico.

Mapping MITRE ATT&CK:

Campagna I Paid Twice, Sekoia, novembre 2025

Sekoia Threat Detection & Response ha pubblicato l’analisi completa in novembre 2025. La campagna è attiva da almeno aprile 2025 e ancora operativa in ottobre 2025.

Architettura a tre fasi:

Fase 1, Acquisizione target. I contatti di manager alberghieri vengono raccolti tramite ricerca diretta su siti web degli hotel oppure acquistati su forum underground (LolzTeam, Exploit.in, WWHClub) a partire da $10 per database email in bulk. In alcuni casi vengono usati account email aziendali già compromessi come mittente, con header alterato per impersonare Booking.com.

Fase 2, Compromissione hotel. Email con le subject line documentate da Sekoia SOC, redirect chain via TDS, landing page ClickFix, installazione PureRAT. L’attaccante ottiene accesso completo all’extranet: tutte le prenotazioni attive, nomi, contatti, date, numeri di camera, messaggi privati.

Fase 3, Targeting ospiti. Il messaggio fraudolento viene inviato dal canale ufficiale Booking con tutti i dati reali della prenotazione. Richiede riconferma del pagamento entro 24 ore per un presunto problema di verifica bancaria. Il link porta a un portale fraudolento ospitato su AS216341 (OPTIMA LLC), provider BulletProof russo. L’infrastruttura include un TDS che maschera i domini C2 e li protegge dal takedown. Sekoia ha identificato quasi un centinaio di domini su un singolo IP in ottobre 2025, con diverse centinaia di domini malevoli attivi complessivamente per mesi.

La tempistica non è casuale. Gli attaccanti monitorano le prenotazioni e scelgono come momento d’attacco il periodo 2-5 giorni prima del check-in, quando la pressione psicologica dell’ospite è massima, l’annullamento sarebbe percepito come catastrofico e la verifica diventa meno probabile.

Il mercato underground, prezzi e attori

Forum principali: LolzTeam, Exploit.in, WWHClub, XSS.IS, tutti di lingua russa, tutti attivi e documentati nel 2025.

Listino prezzi documentato da Sekoia e fonti indipendenti:

Il valore di un account extranet dipende da: numero di strutture gestite, volume di prenotazioni attive, tier Genius del partner, paese di operatività, freshness del log. I log freschi, rubati nelle ultime ore, valgono multipli di quelli stagionati, esattamente come nel mercato legittimo dei dati di mercato finanziario.

: threat actor documentato da Sekoia nel 2025, attivo su Exploit.in, LolzTeam e WWHClub. Acquista e rivende log Booking in modo sistematico. Nelle proprie inserzioni pubblicitarie dichiara di operare con un team che ha guadagnato oltre $20 milioni in questo campo. Che sia esatto o sia marketing criminale, la cifra indica l’ordine di grandezza dell’operazione.

Checker e verifica: sul mercato underground sono disponibili strumenti automatizzati che testano in bulk le credenziali rubate per verificare quali sessioni sono ancora valide prima della rivendita. La verifica preventiva aumenta il valore del lotto.

Cronologia completa dei breach Booking.com

Fonti

Ricerca primaria

Breach aprile 2026

Analisi tecnica

Economia underground e dark web

L’Hotel Belvedere a Venezia è inventato. Il messaggio WhatsApp di Francesco no.

Tag
Francesco
Francesco
Articoli: 22

Lascia una risposta

Questo sito utilizza Akismet per ridurre lo spam. Scopri come vengono elaborati i dati derivati dai commenti.