Sicurezza dati ospiti hotel: email cifrata e vault per i documenti

Sicurezza dei dati degli ospiti in hotel: email cifrata e vault per carte di credito e passaporti

Sono le 7:40, turno del mattino. Nella casella info@ della reception arriva una mail “da Booking.com”: un ospite lamenta un addebito doppio, c’è il numero di prenotazione, ci sono le date giuste. Per verificare basta copiare un link e superare un CAPTCHA. Il CAPTCHA chiede di aprire una finestra di Windows e incollare un comando. Il receptionist lo fa, perché sembra una procedura di sicurezza.

Non è un’ipotesi. È la tecnica ClickFix che Microsoft attribuisce al gruppo Storm-1865, usata per mesi contro il personale degli hotel partner di Booking.com. Il 13 aprile 2026 Booking.com ha iniziato a notificare ai clienti che terze parti non autorizzate avevano avuto accesso ai dati delle prenotazioni: nomi, email, indirizzi, telefoni. Abbastanza per scrivere all’ospite fingendosi l’hotel e chiedergli di “verificare” la carta.

In Italia lo stesso punto d’ingresso ha prodotto un danno diverso. Il 6 agosto 2025 il CERT-AGID ha segnalato la vendita sul dark web di decine di migliaia di scansioni di documenti d’identità sottratte a strutture ricettive italiane: tre hotel nella prima segnalazione, una dozzina negli aggiornamenti dei giorni successivi. Due episodi diversi, un elemento comune: i dati più sensibili dell’ospite erano archiviati in chiaro, alla portata di chiunque entrasse nei sistemi.

In sintesi

• In hotel i dati più sensibili dell’ospite (numero di carta, passaporto, rooming list, dati sanitari) arrivano quasi tutti via email e restano in chiaro negli allegati di una casella condivisa.
• Il requisito 4.2.2 del PCI DSS v4 impone crittografia forte sul numero di carta quando viaggia via email: il TLS fra server di posta non lo soddisfa.
• Il Garante privacy chiede di cancellare la copia del documento d’identità appena ottenuta la ricevuta di Alloggiati Web, comprese le copie arrivate per posta.
• La NIS2 non elenca il settore ricettivo, ma arriva in albergo attraverso i contratti corporate: nel 48% delle violazioni analizzate dal Verizon DBIR 2026 è coinvolta una terza parte.
• EmailGrant, l’estensione di posta cifrata di FileGrant, la piattaforma file-centric di CyberGrant, fa viaggiare la corrispondenza sensibile dell’hotel cifrata, revocabile e con scadenza, mentre FileGrant conserva passaporti e moduli carta in un vault con cifratura quantum-safe, accessi per ruolo e audit trail.

Che cosa contiene davvero la casella info@ di un hotel?

Chiunque abbia lavorato in un albergo lo sa. L’agenzia che manda il modulo di autorizzazione con il numero della carta per garantire una prenotazione. Il tour operator che invia la rooming list di un gruppo con quaranta passaporti scansionati. L’azienda cliente che allega i documenti dei dipendenti in trasferta. L’ospite che scrive le proprie allergie o le esigenze di accessibilità, cioè dati sanitari ai sensi dell’art. 9 del GDPR.

Sopra questo si deposita la corrispondenza operativa: contratti allotment, tariffe corporate riservate, report del revenue manager esterno, fatture dei fornitori. Materiale che vale poco per l’ospite e molto per un concorrente o per chi prepara una frode sul pagamento di una fattura.

Il problema non riguarda il canale. Riguarda la permanenza. Gli allegati si accumulano per anni, la casella è condivisa tra reception, booking e direzione, la password è spesso la stessa per tutti i turni e sopravvive al contratto del personale stagionale. Chi entra nella casella, con un phishing o con una credenziale mai revocata, trova un archivio già ordinato per data.

Che cosa chiedono PCI DSS e il Garante sui dati degli ospiti?

Sulle carte la norma è netta. Il requisito 4.2.2 del PCI DSS v4 impone che il numero della carta (PAN), quando viaggia su tecnologie di messaggistica come email e chat, sia protetto con crittografia forte. Il TLS fra server di posta protegge il trasporto e si ferma lì: il messaggio che poi resta leggibile in casella non è coperto. Un modulo carta in chiaro tra gli allegati porta l’intera infrastruttura di posta dentro il perimetro PCI.

Sui documenti d’identità il Garante privacy, con la nota del 29 aprile 2026 alle associazioni di categoria, ha chiarito che la copia serve solo a inserire i dati in Alloggiati Web e va cancellata appena ottenuta la ricevuta. La regola vale anche per la scansione arrivata via email, che nella maggior parte delle strutture nessuno cancella.

Qui si apre il punto cieco. Firewall, antivirus e filtri antispam presidiano l’ingresso della casella. Nessuno di questi controlli governa cosa succede al file dopo: chi lo apre, per quanto tempo resta leggibile, dove viene inoltrato. La protezione si ferma alla porta e il dato resta in chiaro dentro la stanza. È lo stesso scarto che l’IBM Cost of a Data Breach Report 2026 misura in dollari: solo il 37% delle organizzazioni violate cifrava i dati sensibili a riposo e in transito, e dove la cifratura c’era il costo medio della violazione è sceso di 213.478 dollari.

La NIS2 riguarda anche gli hotel?

Il D.Lgs. 138/2024 non include il settore ricettivo tra i soggetti essenziali o importanti. Per molti gruppi alberghieri la conclusione è stata che la NIS2 non li riguardi. È una lettura che regge sempre meno.

Le FAQ pubblicate da ACN chiedono ai soggetti in perimetro di valutare il rischio di ogni fornitura, considerando esplicitamente l’accesso del fornitore a dati e informazioni. Le misure di sicurezza devono poi diventare clausole contrattuali, obblighi di notifica degli incidenti e diritti di audit, verificati nel tempo. Compagnie aeree, operatori ferroviari, banche, assicurazioni e grandi gruppi manifatturieri sono in perimetro, e mandano all’hotel i dati dei propri passeggeri, clienti e dipendenti. Il Verizon DBIR 2026 dà la misura del fenomeno: le violazioni che coinvolgono una terza parte sono cresciute del 60% in un anno e valgono ormai il 48% del totale.

In pratica la NIS2 entra in albergo attraverso il contratto corporate o il rinnovo con il tour operator: un questionario di sicurezza, la richiesta di notificare un incidente entro 24 ore, la domanda su come vengono protetti i dati ricevuti. Rispondere “usiamo una casella condivisa con antispam” oggi costa un fornitore in meno nella lista di chi compra.

Come proteggono EmailGrant e FileGrant i dati degli ospiti?

La domanda da porsi non riguarda come blindare meglio info@. Riguarda il motivo per cui il passaporto e il numero della carta debbano mai trovarsi in chiaro dentro una casella. La protezione si applica al file alla nascita e lo segue ovunque vada: è l’approccio file-centric su cui CyberGrant ha costruito FileGrant e le sue estensioni.

EmailGrant: la corrispondenza sensibile viaggia cifrata

EmailGrant è l’estensione che porta la protezione di FileGrant sulla posta. Non è un nuovo client da installare: è un canale di messaggistica cifrata che il personale usa quando una comunicazione contiene dati che non devono restare in chiaro, la conferma con i dati di garanzia, la richiesta dei documenti al capogruppo, il contratto con l’agenzia. I messaggi non transitano su server esterni e restano cifrati nella piattaforma.

• Revoca dopo l’invio: destinatario sbagliato o rapporto concluso, il messaggio si chiude con un clic.
• Scadenza programmata: la mail con i dati della carta smette di essere leggibile alla data impostata, per esempio il giorno dopo il check-out.
• Tracciamento di chi ha aperto, quando e da quale indirizzo IP.
• Destinatari esterni senza account (ospite, agenzia, tour operator) accedono con codice OTP.
• Gli allegati ereditano classificazione e permessi di FileGrant.

FileGrant: passaporti e moduli carta in un vault

FileGrant è la piattaforma su cui l’estensione poggia. Passaporti, moduli di autorizzazione carta e rooming list smettono di vivere negli allegati ed entrano in un vault, cifrati con lo standard post-quantum del NIST CRYSTALS-Kyber, applicato dalla tecnologia brevettata Lock&Go. L’AI privata, che non invia nulla a cloud pubblici, riconosce il documento e applica in automatico il tag corretto (identificativo, finanziario, sanitario) con le restrizioni collegate.

• Accessi per ruolo (RBAC): la reception vede il documento per il tempo del check-in, il revenue manager vede le tariffe, l’housekeeping non vede nulla di tutto questo.
• Blocco di download, stampa e anti-capture sui documenti d’identità.
• Audit trail su ogni file: chi ha aperto cosa e quando, esportabile per l’audit del cliente corporate o per la notifica al Garante entro 72 ore.
• Cancellazione controllata della copia del documento dopo la ricevuta di Alloggiati Web, come chiede il Garante.
• Condivisione con fornitori revocabile: anche un file già scaricato, nel formato cifrato Lock&Go, resta leggibile solo a chi ha il permesso.

Come si integra con posta, SSO e PMS esistenti?

Per il CIO e il CTO conta anche il deployment. FileGrant può girare on-premises sui server del gruppo, con chiavi master private, oppure in cloud su territorio nazionale. Supporta SSO con Microsoft e Google, quindi si affianca alla posta e al PMS esistenti senza sostituirli.

Come cambiano tre flussi tipici di una struttura?

Quali cinque domande deve porsi un CISO prima di scegliere?

Prima di valutare qualsiasi soluzione conviene fotografare la situazione attuale. Queste cinque domande misurano quanto è esposto oggi il gruppo e cosa chiedere a un fornitore di sicurezza.

1. Quanti messaggi con numeri di carta o documenti d’identità sono oggi leggibili nelle caselle condivise?
2. Se domani un receptionist stagionale cade in un ClickFix, cosa trova l’attaccante?
3. Possiamo revocare un file già inviato a un fornitore o a un’agenzia?
4. Sappiamo dimostrare a un cliente corporate chi ha avuto accesso ai dati dei suoi dipendenti?
5. La soluzione si integra con posta, SSO e PMS esistenti, o chiede di sostituirli?

Qual è il vero perimetro di un hotel?

Un hotel non può smettere di ricevere passaporti e carte di credito: fa parte del servizio. Può smettere di conservarli in chiaro. La misura di sicurezza che regge è una sola: fare in modo che ciò che viene preso non serva a niente. Bloccare ogni phishing è un obiettivo che nessuna struttura con personale stagionale può garantire.

I gruppi che arriveranno al prossimo rinnovo corporate con un audit trail esportabile e una risposta precisa su dove vivono i dati degli ospiti negozieranno da una posizione diversa rispetto a chi presenterà l’informativa privacy aggiornata.

Vuoi vedere come funziona su un vostro flusso reale? Prenota una demo di EmailGrant e FileGrant: partiamo da una prenotazione di gruppo o da un contratto corporate e mostriamo il percorso del dato dall’arrivo alla cancellazione. Scrivici.

Domande frequenti

Un hotel può ricevere i dati della carta di credito via email?

Solo se il numero della carta è protetto con crittografia forte, come richiede il requisito 4.2.2 del PCI DSS v4. Un PDF in chiaro in allegato non rispetta lo standard, anche quando la connessione fra server di posta usa TLS: il TLS protegge il trasporto e non il messaggio che resta in casella.

Per quanto tempo si può conservare la copia del passaporto di un ospite?

Solo il tempo necessario a registrare i dati su Alloggiati Web e ottenere la ricevuta. Poi la copia va cancellata, comprese quelle arrivate via email. Si conserva la ricevuta, per cinque anni.

Gli hotel rientrano nella NIS2?

Di norma non direttamente, perché il settore ricettivo non compare negli allegati del D.Lgs. 138/2024. Lo diventano di fatto come fornitori di soggetti in perimetro, che devono valutare il rischio delle proprie forniture e imporre requisiti di sicurezza per contratto, con obblighi di notifica e diritti di audit.

Che cos’è EmailGrant e come protegge la corrispondenza di un hotel?

EmailGrant è l’estensione di posta cifrata di FileGrant, la piattaforma file-centric di CyberGrant. Il personale la usa per le comunicazioni che contengono dati sensibili dell’ospite: il messaggio e gli allegati restano cifrati dopo la consegna, hanno una data di scadenza, sono revocabili con un clic e registrano chi li ha aperti e quando. I destinatari esterni senza account accedono con un codice OTP.

Come funziona il vault di FileGrant per i documenti degli ospiti?

FileGrant conserva passaporti, moduli di autorizzazione carta e rooming list in uno spazio cifrato con CRYSTALS-Kyber, lo standard post-quantum del NIST, attraverso la tecnologia brevettata Lock&Go. L’AI privata classifica in automatico il documento e applica le restrizioni collegate; gli accessi sono regolati per ruolo e ogni apertura finisce in un audit trail esportabile.

Come si condividono in sicurezza i file con agenzie, tour operator e fornitori?

Con accessi nominali, permessi per ruolo, scadenza e possibilità di revoca anche dopo l’invio, più un audit trail che registra ogni apertura. Nel formato cifrato Lock&Go di FileGrant un file già scaricato resta leggibile solo a chi ha ancora il permesso, quindi la revoca funziona anche sulle copie uscite dalla struttura.

EmailGrant e FileGrant sostituiscono la posta aziendale o il PMS?

No, si affiancano. FileGrant supporta SSO con Microsoft e Google e può essere installato on-premises sui server del gruppo o in cloud su territorio nazionale, quindi convive con la casella e con il PMS già in uso senza richiedere migrazioni.