Allarme sicurezza negli hotel italiani: 90.000 documenti d’identità nelle mani dei cybercriminali

L’Agenzia per l’Italia Digitale, nell’ambito delle attività di prevenzione operate dal CERT-AgID ha rilevato un’attività di vendita illegale di documenti d’identità che sarebbero stati trafugati da hotel operanti sul territorio italiano. Si tratta di decine di migliaia di scansioni ad alta risoluzione di passaporti, carte d’identità e altri documenti di riconoscimento utilizzati dai clienti durante le operazioni di check-in.
L’autore che ha messo in vendita questi documenti, noto con lo pseudonimo “mydocs”, ha dichiarato di averli ottenuti attraverso accessi non autorizzati a sistemi informatici, tra giugno e agosto 2025.
Questa notizia rappresenta un campanello d’allarme estremamente preoccupante per quanto riguarda la sicurezza informatica nel settore alberghiero italiano e la protezione dei dati personali dei cittadini. La vicenda che emerge dal comunicato rivela una situazione di vulnerabilità sistemica che va ben oltre il singolo episodio criminale, mettendo in luce problematiche strutturali che meritano una riflessione approfondita.
Il caso del cybercriminale noto come “mydocs” rappresenta un esempio emblematico di come gli attacchi informatici stiano diventando sempre più sofisticati e mirati. La progressione temporale degli attacchi, concentrati tra giugno e agosto 2025, dimostra una strategia pianificata e metodica. Non si tratta di azioni casuali o opportunistiche, ma di una vera e propria campagna criminale che ha preso di mira specificamente le strutture alberghiere italiane, sfruttando probabilmente vulnerabilità comuni nei loro sistemi informatici.
La dimensione del fenomeno è allarmante: stiamo parlando di oltre 90.000 documenti d’identità trafugati da dieci hotel italiani, con la possibilità che emergano ulteriori casi nei prossimi giorni. Questi numeri non rappresentano semplicemente statistiche astratte, ma migliaia di cittadini italiani e stranieri che si trovano ora esposti a rischi concreti di furto d’identità e frodi. Ogni documento sottratto rappresenta una persona reale che potrebbe subire conseguenze economiche e legali significative senza neanche esserne consapevole.
La scelta degli hotel come target non è casuale. Le strutture ricettive rappresentano un punto di raccolta naturale di informazioni sensibili: durante le procedure di check-in, i gestori alberghieri devono necessariamente acquisire e digitalizzare i documenti d’identità degli ospiti per adempiere agli obblighi di legge relativi alla comunicazione degli alloggiati alle questure. Questa pratica, di per sé legittima e necessaria, crea inevitabilmente dei database ricchi di informazioni preziose per i cybercriminali.
Il problema fondamentale che emerge è la mancanza di adeguate misure di sicurezza informatica in molte strutture alberghiere. La facilità con cui l’attaccante è riuscito a penetrare in così tanti sistemi diversi suggerisce che non si tratti di vulnerabilità isolate, ma di carenze diffuse nella protezione dei dati. Molti alberghi, soprattutto quelli di piccole e medie dimensioni, spesso non dispongono delle competenze tecniche o delle risorse economiche necessarie per implementare sistemi di sicurezza all’altezza delle minacce contemporanee.
La tipologia di documenti sottratti rende particolarmente grave la situazione. Le scansioni ad alta risoluzione di passaporti, carte d’identità e altri documenti di riconoscimento rappresentano materiale ideale per la creazione di documenti falsificati di qualità elevata. La qualità delle immagini consente ai criminali di riprodurre con precisione tutti i dettagli di sicurezza visibili, rendendo estremamente difficile per un controllo superficiale distinguere i documenti contraffatti da quelli originali.
Le conseguenze per le vittime possono essere devastanti e di lunga durata. L’apertura di conti bancari fraudolenti, l’accensione di prestiti non autorizzati, la creazione di identità digitali false per attività illecite sono solo alcune delle possibili applicazioni criminali di questi dati. Particolarmente insidiosi sono gli attacchi di social engineering, in cui i criminali utilizzano le informazioni personali sottratte per ingannare istituzioni finanziarie, enti pubblici o altre persone, spacciandosi per le vittime.
L’intervento dell’AgID con la circolare ai gestori di servizi fiduciari rappresenta una risposta rapida e appropriata alla situazione. L’innalzamento del livello di attenzione nelle verifiche documentali è una misura necessaria, anche se potrebbe comportare qualche disagio aggiuntivo per i cittadini nelle operazioni quotidiane che richiedono l’identificazione digitale. Tuttavia, questo inconveniente temporaneo è ampiamente giustificato dalla necessità di prevenire ulteriori danni.
La raccomandazione ai cittadini di monitorare attivamente eventuali segnali di utilizzo indebito dei propri dati è fondamentale, ma evidenzia anche un problema più ampio: la difficoltà per i singoli individui di proteggersi efficacemente da minacce di questa portata. Molte persone non hanno la consapevolezza o gli strumenti necessari per rilevare tempestivamente un possibile furto d’identità, e spesso se ne accorgono solo quando i danni sono già stati compiuti.
Questa vicenda dovrebbe servire da catalizzatore per una riflessione più ampia sulla sicurezza informatica nel settore turistico italiano. È necessario un approccio sistemico che coinvolga non solo le singole strutture, ma anche le associazioni di categoria, le istituzioni e i fornitori di tecnologie. Servono standard minimi di sicurezza informatica obbligatori per tutte le strutture ricettive, programmi di formazione per il personale, e sistemi di supporto tecnico accessibili anche alle realtà più piccole.
La dimensione internazionale del turismo italiano rende questa problematica ancora più delicata. Molte delle vittime potrebbero essere turisti stranieri che, una volta rientrati nei loro paesi, avranno difficoltà a seguire le procedure di segnalazione italiane o a essere informati tempestivamente dell’accaduto. Questo aspetto richiede una coordinazione a livello europeo e internazionale per garantire che tutte le vittime vengano adeguatamente informate e assistite.
In conclusione, il caso “mydocs” rappresenta un momento di sveglia per l’intero sistema turistico italiano. La risposta a questa crisi deve essere rapida, coordinata e sistemica, trasformando questa emergenza in un’opportunità per rafforzare definitivamente la sicurezza informatica del settore alberghiero e la protezione dei dati dei cittadini.