Dark web e hotel italiani: rubati documenti con credenziali lecite di una piattaforma cloud

Luca Stivali : 25 Agosto 2025 08:25

A cura di Luca Stivali, Roland Kapidani e Silvia Felici.

Negli ultimi giorni si è acceso un dibattito attorno alla fuga di dati che ha coinvolto numerose strutture alberghiere italiane. Ne abbiamo già parlato su Red Hot Cyber, ma le evoluzioni non si sono fatte attendere.

Dopo la pubblicazione del nostro articolo, la redazione è stata contattata da un servizio IT di una delle strutture colpite: da quel confronto sono emerse conferme importanti e nuove informazioni che ci hanno permesso di condurre attività di Cyber Threat Intelligence (CTI) e di ricostruire meglio la dinamica degli eventi.

Non un problema dei singoli hotel, ma della piattaforma cloud condivisa

Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber "Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime.  Non possiamo più permetterci di chiudere gli occhi". Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.  Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.  Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Fin dall’inizio avevamo ipotizzato che l’esfiltrazione dei documenti non fosse legata ai sistemi interni dei singoli hotel, ma piuttosto a un servizio SaaS centralizzato.

Questa ipotesi si è rivelata fondata:

• le evidenze raccolte nel dark web dimostrano che per oltre il 99% degli hotel compromessi erano già disponibili credenziali valide, rubate tra il 2023 e il 2024 tramite malware infostealer;
• le stesse credenziali, appartenenti al personale amministrativo degli hotel, sono state con ogni probabilità riutilizzate dagli attaccanti per accedere alla piattaforma cloud e sottrarre i dati.

Dalle nostre analisi emerge con forte probabilità che l’attacco non sia partito da sofisticati exploit, ma da campagne mirate di phishing: email ben confezionate, spesso camuffate da conferme di prenotazioni o arrivi imminenti, hanno indotto il personale a scaricare ed eseguire file malevoli.

Da lì, gli infostealer hanno fatto il resto: raccolta delle credenziali, esfiltrazione e successiva vendita nei marketplace underground.

Un dettaglio ancora più preoccupante

C’è però un ulteriore elemento che complica la vicenda. Tra le credenziali circolanti nel dark web non figurano soltanto account appartenenti agli hotel clienti, ma anche un utente riconducibile al personale IT della piattaforma SaaS stessa.

Se confermato, questo significherebbe che gli attaccanti avrebbero potuto disporre non solo di accessi operativi dei clienti, ma anche di credenziali interne, con potenziali privilegi ben più estesi. Uno scenario che apre interrogativi inquietanti sul livello di sicurezza complessivo dell’infrastruttura.

Un ulteriore punto critico riguarda la sicurezza degli accessi: dalle informazioni raccolte sembra che misure come l’autenticazione a due fattori siano disponibili solo per i pannelli di gestione più avanzati, ma non per l’interfaccia operativa utilizzata quotidianamente dal personale.

Si tratta di un limite che, se confermato, renderebbe ancora più semplice per un attaccante sfruttare credenziali rubate senza dover superare ulteriori barriere di sicurezza.

Lezioni apprese

Questa vicenda conferma ciò che in molti già sospettavano: il vero tallone d’Achille oggi non sono i sistemi, ma le persone e le loro credenziali:

• Gli infostealer sono la minaccia silenziosa che alimenta gran parte degli abusi nel dark web;
• Le credenziali rubate rappresentano il punto di partenza di campagne che colpiscono settori interi;
• La difesa richiede non solo tecnologie (MFA, monitoraggio del dark web, rotazione password), ma soprattutto processi e formazione.

Questa vicenda è l’ennesima conferma che la cybersicurezza non può limitarsi alla tecnologia: antivirus, EDR/XDR, firewall e buone pratiche restano fondamentali, ma da soli non bastano.

Serve anche un’attività costante di intelligence, capace di monitorare i marketplace del dark web, intercettare le credenziali rubate e fornire segnali di allarme prima che diventino veri e propri incidenti.

Luca Stivali
Cyber Security Enthusiast e imprenditore nel settore IT da 25 anni, esperto nella progettazione di reti e gestione di sistemi IT complessi. Passione per un approccio proattivo alla sicurezza informatica: capire come e da cosa proteggersi è fondamentale.

Lista degli articoli