In breve: se il sito del Suo hotel è stato hackerato, non conta tanto la home page quanto tutto ciò che vi è collegato: il motore di prenotazione incorporato, lo shop di buoni, i moduli di richiesta per feste e convegni. Verifichi stato delle patch e incorporazioni, salvi i log e avvisi gli ospiti in modo oggettivo se i loro dati potrebbero essere coinvolti.
Quali sistemi PHP girano in hotel e ristorazione
Il sito di un hotel o di un ristorante gira di solito su WordPress o su un altro CMS PHP. Il motore di prenotazione proviene spesso dal fornitore del software alberghiero o di un channel manager e viene incorporato tramite script o iframe. Sul proprio server girano inoltre spesso uno shop di buoni basato su WooCommerce, moduli per richieste di convegni e matrimoni, prenotazioni di tavoli, iscrizioni alla newsletter e offerte di lavoro stagionali.
Proprio la miscela di componenti propri ed estranei rende vulnerabile l'ospitalità: il proprio server non deve contenere i dati di prenotazione per mettere in pericolo gli ospiti. Basta che stabilisca dove porta il pulsante Prenota.
Quali dati degli ospiti sono in gioco
Dai siti degli hotel passano nomi, indirizzi, numeri di telefono, date di viaggio e accompagnatori. Le richieste contengono spesso desideri particolari come allergie, accessibilità o esigenze dietetiche. Tali informazioni sanitarie rientrano nelle categorie particolari ai sensi dell'art. 9 GDPR. Nello shop di buoni si aggiungono dati di ordine e di fatturazione.
I dati delle carte di norma si trovano presso il fornitore di pagamento o nel software alberghiero, non sul sito. Chi può però modificare JavaScript sul sito può anche leggere l'input nei moduli o inviare gli ospiti a una pagina di pagamento ingannevolmente autentica.
Le richieste di convegni ed eventi provengono spesso da aziende e contengono elenchi di partecipanti, programmi e budget. Le richieste di matrimonio indicano date, numero di invitati e cognomi delle famiglie. Queste informazioni vengono raramente percepite come sensibili, ma sono preziose per tentativi di frode mirati, ad esempio una falsa fattura di acconto poco prima dell'evento. Verifichi perciò se le richieste restano in modo permanente nel database del sito e se ciò è necessario.
Sito dell'hotel hackerato: conseguenze tipiche per l'attività
- Pagine di prenotazione e di pagamento false: gli ospiti pagano a truffatori e ne ritengono responsabile l'hotel.
- Messaggi di frode mirati: con date di viaggio reali, richieste di pagamento falsificate risultano credibili.
- Perdita di prenotazioni dirette: un avviso di Google o un'interruzione spinge gli ospiti verso portali di prenotazione per i quali paga una commissione.
- Recensioni: gli ospiti truffati lo raccontano pubblicamente, indipendentemente da dove sia stato l'errore.
Dopo una patch verifichi anche se l'incorporazione del Suo motore di prenotazione punta ancora all'indirizzo giusto. Uno script modificato o un link deviato nella quotidianità passa quasi inosservato.
Chi è responsabile: agenzia, fornitore di software, hoster?
| Componente | Di norma responsabile | Domanda aperta |
|---|---|---|
| Sito dell'hotel e shop di buoni | Agenzia e hoster | Patch di PHP e riavvio confermati? |
| Motore di prenotazione | Fornitore del software alberghiero | L'incorporazione è invariata? |
| Software alberghiero in sede | Fornitore del software o gestore IT | Collegamenti con il sito? |
| Caselle di posta della reception | Hoster o gestore IT | Inoltri sconosciuti? |
Nei gruppi alberghieri e nelle attività in franchising si aggiungono indicazioni centrali. Spesso la sede centrale gestisce il sito principale, mentre singole strutture mantengono pagine proprie di buoni o eventi che nessuno ha sotto controllo a livello centrale.
Personale stagionale, accessi condivisi e buoni
Nell'ospitalità i team cambiano di frequente. Gli accessi al sito, allo shop di buoni e alle piattaforme di prenotazione vengono condivisi alla reception e raramente modificati quando qualcuno se ne va. Dopo un incidente tutti questi accessi andrebbero rinnovati e, dove possibile, passati ad account personali.
Un rischio sottovalutato sono i buoni. Chi ha accesso al database dello shop può leggere i codici dei buoni, modificarne i valori o creare codici propri da riscuotere alla reception. Dopo una bonifica faccia verificare se siano stati creati o modificati buoni non riconducibili a un ordine. Un confronto con la Sua contabilità di solito mostra rapidamente queste anomalie.
Le prime ore dopo un'allerta
- Far confermare per iscritto all'hoster che PHP è alla versione 8.5.12, 8.4.27, 8.3.36 o 8.2.35 oppure è stato aggiornato e che tutti i processi sono stati riavviati.
- Senza conferma: sostituire il sito con una pagina informativa con telefono e link diretto al motore di prenotazione del fornitore.
- Salvare i log dal 20/10/2026 e verificare le incorporazioni di motore di prenotazione e pagine di pagamento.
- Informare il team della reception, perché riconosca e documenti richieste sospette degli ospiti.
- In presenza di indizi di frode avvisare gli ospiti in modo oggettivo. Aiuti per la formulazione offre la pagina sulla comunicazione di crisi.
Come aiuta concretamente PHP SOS?
- Verifichiamo stato delle patch, riavvio e modalità di esecuzione del Suo server web e ci coordiniamo con agenzia e hoster.
- Controlliamo sito, shop di buoni e incorporazioni alla ricerca di JavaScript modificato, reindirizzamenti estranei e web shell e rimuoviamo il codice dannoso.
- Verifichiamo se le caselle di posta hanno ricevuto regole di inoltro che Lei non conosce.
- In seguito, su richiesta, configuriamo un monitoraggio di sicurezza che segnala modifiche a file e script.
Domande frequenti
Il mio motore di prenotazione è interessato da PHP2Shell?
Molti motori di prenotazione sono gestiti dal fornitore e solo incorporati nel sito dell'hotel. In tal caso il fornitore è responsabile del proprio server. Il Suo sito resta comunque un rischio, perché lì un aggressore può modificare l'incorporazione o reindirizzare verso una pagina di prenotazione falsa.
Gli ospiti hanno ricevuto strane richieste di pagamento. C'entra con il sito?
È possibile, ma lo si può dimostrare solo dopo una verifica. Messaggi del genere possono nascere anche tramite piattaforme di prenotazione o caselle di posta compromesse. Conservi i messaggi, avvisi gli ospiti interessati e faccia verificare sito, caselle di posta e accessi alle piattaforme.
Posso spegnere il sito in alta stagione?
Se non è dimostrato che PHP sia aggiornato, il BSI raccomanda di scollegare temporaneamente i server web dalla rete. Una pagina informativa con telefono e link diretto al motore di prenotazione del fornitore mantiene l'attività in corso. Un sito compromesso senza che nessuno se ne accorga costa in stagione più fiducia di alcune ore di manutenzione.