Pillole di sicurezza informatica

Pillole di sicurezza informatica

Furto documenti di identità, casi recenti e linee guida

Cosa possono fare con i tuoi documenti

Casi reali recenti

• Tra giugno e agosto 2025, un gruppo di cybercriminali noto come "Mydocs" ha sottratto e messo in vendita nel dark web tra i 70.000 e i 90.000 documenti d’identità (carte d’identità e passaporti) ottenuti da sistemi informatici di vari hotel italiani.
• Le strutture coinvolte sono presenti su tutto il territorio nazionale ecco alcuni dati, senza citare il nome dell’hotel ma solo la località:
                   - Venezia: circa 38.000 immagini rubate a luglio
                   - Ischia: circa 30.000 documenti
                   - Trieste: circa 17.000 immagini
                   - Milano Marittima: circa 2.300 immagini
  
  
• Secondo il CERT-AgID, gli attacchi sono stati realizzati con accessi non autorizzati ai sistemi informatici degli hotel e il materiale trafugato è stato venduto a prezzi variabili, da circa 800 fino a 10.000 euro per documento, nel Dark web.
• Per chi vuole approfondire: https://cert-agid.gov.it/news/in-vendita-documenti-di-identita-trafugati-da-hotel-italiani/
• Il Garante per la Privacy ha avviato a tal proposito delle verifiche ed ha sollecitato le strutture a notificare prontamente le violazioni e invitato i clienti a verificare con gli hotel se i loro dati fossero stati compromessi.
• Per chi vuole approfondire: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10158043

Cosa possono fare con un tuo documento rubato?

Con la carta di identità:

·       Creare account online (banche, e-commerce, social network) a tuo nome

·       Ottenere crediti o prestiti, lasciandoti poi i debiti

·       Registrare SIM telefoniche per poi usarle in attività fraudolente

·       Abbonamenti a servizi (telefonia, pay-tv, noleggio auto o scooter sharing)

·       Acquisti a rate con finanziarie

·       Intestare beni o società fittizie alla tua identità

·       Utilizzare la tua identità per riciclare denaro o truffare terzi (ad esempio vendite online inesistenti)

·       Tentare di ottenere SPID, CIE digitale o altri sistemi di autenticazione statale

·       Accedere a bonus o contributi economici al posto tuo.

Con la patente di guida:

La patente da sola non permette di fare tutto ciò che si può con la carta d’identità, ma è comunque un documento molto sfruttato per truffe e contratti. L’elemento critico è che può “legittimare” un malintenzionato a presentarsi fisicamente a nome tuo ed effettuare le seguenti attività:

·       Noleggiare auto/scooter a tuo nome.

·       Sottoscrivere e attivare SIM o contratti di utenze.

·       Fare acquisti a credito o abbonamenti.

·       Intestare veicoli per attività illecite.

·       Usarla come “copertura” per multe e incidenti. (Ad esempio decurtazione di punti)

Buone norme comportamentali per la reception e il personale alberghiero

1. Minimizzare la raccolta e la conservazione dei dati
Evitate di scansionare o memorizzare copie dei documenti dei clienti: per legge (TULPS Art. 109), è sufficiente la sola verifica visiva del documento

2. Implementare solide misure di sicurezza informatiche

• Applicate misure tecniche e organizzative adeguate, come la cifratura dei dati, controllo degli accessi, e protezione degli scanner e delle postazioni di lavoro
• Con i clienti abituali, previa loro specifica autorizzazione, potete salvare in modo sicuro, i dati anagrafici nel gestionale, evitando comunque la copia fisica o digitale del documento stesso.
• Utilizzate sistemi sicuri per la trasmissione dei dati sensibili, come il portale "Alloggiati Web" della Polizia di Stato. https://alloggiatiweb.poliziadistato.it/PortaleAlloggiati/

3. Gestione delle violazioni
In caso di data breach, l’hotel deve notificare il Garante della Privacy entro 72 ore e informare tempestivamente i clienti coinvolti, consentendo loro di proteggersi.

4. Formazione e consapevolezza del personale

• Formare il personale, affinché comprenda i rischi legati al trattamento dei dati sensibili, in modo che sappia impedire accessi non autorizzati e gestisca correttamente scanner e computer in reception.
• Instaurare una cultura aziendale attenta alla privacy, in cui tutti i dipendenti siano responsabili della sicurezza dei dati.

5. Procedure chiare per i clienti
Comunicate ai clienti in modo trasparente che è sufficiente la verifica visiva del documento, senza necessità di lasciare copie.

6. Supporto alle vittime
In caso di sospetto coinvolgimento, cooperare con Clienti, Autorità e Garante, fornendo informazioni chiare e supporto nelle possibili azioni (monitoraggio dei dati, accesso a risorse legali o tecniche).

Riassumendo in una tabella

In conclusione è fondamentale, che come struttura ricettiva si tuteli nel miglior modo possibile i dati che i clienti ti affidano, anche per non essere complici in attività fraudolente e criminali.

Maggiori info presso i nostri uffici.