Cyber-attacco agli hotel: migliaia di passaporti rubati! Il tuo è a rischio?

L’incubo di ogni viaggiatore è diventato realtà. Un massiccio attacco cyber ha colpito alcune delle più importanti strutture ricettive italiane, portando al furto di dati di migliaia di passaporti e carte d’identità. L’autore dell’attività illecita è un gruppo di cybercriminali, “Mydocs”, che ha messo in vendita il materiale rubato su un forum del dark web. I documenti, scansioni ad alta risoluzione carpite agli ignari clienti durante le operazioni di check-in, rappresentano un “asset di grande valore” per le organizzazioni criminali, come segnalato dall’

Il bilancio è pesante: sono stati colpiti alberghi a quattro stelle in tutta Italia. Tra le strutture bersaglio, l’Hotel Ca’ dei Conti a Venezia, da cui sarebbero state sottratte 38.000 immagini, ma anche il Regina Isabella di Ischia (30.000 documenti), l’Hotel Continentale di Trieste (17.000) e Casa Dorita a Milano Marittima(2.300). Le indagini, avviate dopo la segnalazione di AgID dello scorso 6 agosto, sono ora al vaglio della Polizia Postale.

Allarme sicurezza: furto di massa di documenti d’identità negli hotel italiani.

La responsabilità dell’albergo: tra obbligo di sicurezza e risarcimento

La struttura alberghiera, nel momento in cui acquisisce i dati dei clienti, agisce come Titolare del Trattamentoai sensi del Regolamento (UE) 2016/679 (GDPR). Questa qualifica comporta precisi obblighi di cui, se non adempiuti, l’albergo è pienamente responsabile.

• obbligo di sicurezza (Art. 32 GDPR): l’albergo è tenuto a mettere in atto “misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”. Il furto di migliaia di documenti digitalizzati suggerisce una palese violazione di questo obbligo. Le misure di sicurezza avrebbero dovuto includere la cifratura dei dati, sistemi di controllo degli accessi robusti e procedure di conservazione sicura;
• obblighi di notifica e comunicazione: in caso di violazione (data breach), l’albergo è tenuto a notificare l’accaduto al Garante della Privacy entro 72 ore e a comunicarlo a tutti i clienti coinvolti senza ingiustificato ritardo, per permettere loro di adottare le dovute precauzioni;
• responsabilità per il danno (Art. 82 GDPR): l’albergo risponde per il danno, sia materiale che immateriale, causato dalla violazione. Può essere esonerato solo se dimostra che l’evento non gli è in alcun modo imputabile, una prova estremamente difficile in un caso di furto massivo di dati per carenze di sicurezza.

Cosa può fare il cliente: azioni immediate e diritti a tutela

Se sei stato un ospite in uno di questi hotel e hai il sospetto che i tuoi dati siano stati rubati, devi agire con tempestività per mitigare i rischi e tutelare i tuoi diritti.

• sporgi subito denuncia/querela presso la Polizia di Stato o i Carabinieri. Questo atto formalizza il furto dei tuoi dati identificativi ed è essenziale per difenderti da eventuali usi illeciti futuri (es. furto d’identità, stipula di contratti a tuo nome);
• non è possibile “annullare” una carta d’identità o un passaporto, ma la denuncia di furto o smarrimento ne determina l’inserimento in apposite banche dati, rendendoli ufficialmente non validi. Per la Carta d’Identità Elettronica (CIE), è cruciale richiedere il blocco delle sue funzionalità online. Successivamente, dovrai richiedere l’emissione di un nuovo documento;
• l’articolo 82 del GDPR ti garantisce il diritto di ottenere il risarcimento per i danni subiti, sia materiali (costi per rifare i documenti, perdite economiche dirette) sia immateriali (sofferenza psicologica, stress, ansia). La Corte di Giustizia dell’Unione Europea (CGUE)ha chiarito che non è necessario attendere un’effettiva usurpazione d’identità per chiedere i danni: la paura fondata che ciò possa accadere e la perdita di controllo sui propri dati personali costituiscono di per sé un danno immateriale risarcibile.

Come difendersi e a chi chiedere i danni

Oltre alla denuncia, è consigliabile monitorare con attenzione i propri conti correnti e le carte di credito. Per tutelare i tuoi diritti, puoi:

• puoi presentare un reclamo all’Autorità Garante Privacy se ritieni che il trattamento dei tuoi dati abbia violato il regolamento. Il Garante può avviare un’istruttoria e imporre sanzioni all’albergo.
• puoi agire in sede civile contro l’albergo per ottenere il risarcimento di tutti i danni subiti. Spetterà all’albergo dimostrare che il furto non è in alcun modo imputabile a sue negligenze.

Alla luce di questi attacchi, è “fondamentale”, come afferma l’AgID, che le strutture ricettive adottino “misure rigorose per la protezione e la sicurezza delle informazioni”, garantendo la salvaguardia dei propri sistemi e portali digitali da accessi non autorizzati.