Truffa Booking: cosa fare se la struttura chiede di pagare di nuovo
Come si riconosce il falso messaggio della struttura, cosa fare prima e dopo il pagamento e quali prove conservare per banca, polizia e piattaforma.
Aggiornato il
La truffa Booking della richiesta di pagare di nuovo è un messaggio che sembra della struttura, nella chat della prenotazione o su WhatsApp: la carta risulterebbe rifiutata e bisognerebbe ripagare subito da un link. Il messaggio va ignorato, la prenotazione si controlla nell’app ufficiale e, se il pagamento è partito, si chiama la banca. Il 21 ottobre 2026 la Commissione europea ha aperto un’indagine su Booking.com che riguarda anche questo phishing. TrueScreen certifica la chat e la pagina del link prima che spariscano.
In breve
- Booking.com dichiara che non chiede mai i dati della carta tramite email, telefono, SMS o WhatsApp (pagina sulla sicurezza per i viaggiatori).
- Il 21 ottobre 2026 la Commissione europea ha avviato un procedimento formale su Booking.com ai sensi del DSA, che riguarda anche il phishing con i dati delle prenotazioni; l’avvio non pregiudica l’esito (comunicato IP/26/2223).
- Per le operazioni non autorizzate il D.Lgs. 11/2010 prevede la comunicazione alla banca entro 13 mesi dall’addebito e una franchigia massima di 50 euro, salvo dolo o colpa grave; un pagamento confermato dalla vittima ingannata può però essere considerato autorizzato.
- La denuncia per truffa (art. 640 c.p.) si presenta alla Polizia Postale o a qualsiasi ufficio di polizia o dei carabinieri.
- Chat e pagina del link possono sparire subito dopo il pagamento: vanno certificate prima, con data certa e integrità verificabile.
Il messaggio arriva a viaggio organizzato, con il nome della struttura, le date e il numero della prenotazione. Dopo il pagamento può sparire insieme alla pagina del link, e chi vuole contestare l’addebito resta senza la prova principale. Conviene quindi verificare, conservare in forma certificata e, se i dati della carta sono stati inseriti, avvisare subito banca e polizia.
Come funziona la truffa Booking del pagamento «non andato a buon fine»
La truffa Booking del pagamento non andato a buon fine è un messaggio che si presenta come una comunicazione della struttura, sostiene che la carta sia stata rifiutata e chiede di pagare di nuovo da un link esterno. Booking.com dichiara nella pagina sulla sicurezza per i viaggiatori che non chiede mai i dati della carta tramite email, telefono, SMS o WhatsApp. TrueScreen certifica quel messaggio nel momento in cui compare sullo schermo.
Il messaggio è credibile perché usa dati veri della prenotazione, mentre a tradirlo è la richiesta di pagare fuori dalle condizioni scritte nella conferma.
Oltre alla chat della prenotazione, lo schema passa da WhatsApp, SMS ed email. I dati veri arrivano spesso da account di strutture compromessi, cioè dall’accesso all’extranet degli albergatori. Il copione si ripete: carta «non accettata», scadenza stretta (per esempio 24 ore), minaccia di cancellazione e link a una pagina clone di Booking. La stampa internazionale lo chiama ormai reservation hijacking.
Non va confuso con la truffa della casa vacanze con annuncio falso, in cui l’alloggio non esiste: qui la prenotazione è reale, ed è questo a renderla convincente. Un pagamento anticipato legittimo segue le condizioni scritte nella conferma, mai un link arrivato in chat.
I segnali che distinguono il messaggio falso
- Una carta rifiutata annunciata in chat, senza riscontro nella conferma.
- La richiesta di reinserire i dati della carta per «convalidare» la prenotazione, tipica della truffa Booking sulla conferma della prenotazione.
- Una scadenza stretta con la minaccia di cancellazione.
- Un link che porta fuori dall’app o dal sito ufficiale.
- L’invito a proseguire su WhatsApp o per SMS da un numero sconosciuto.
Cosa verifica l’indagine della Commissione europea
Il 21 ottobre 2026 la Commissione europea ha avviato un procedimento formale per verificare se Booking.com abbia valutato con la dovuta diligenza e attenuato in modo efficace i rischi legati agli annunci fraudolenti e al phishing, come richiede il regolamento sui servizi digitali (DSA). Lo annuncia il comunicato IP/26/2223.
L’indagine riguarda anche il phishing della richiesta di ripagare, ma non accerta violazioni e non apre un canale di rimborso per i singoli viaggiatori.
I profili sono tre: gli annunci fraudolenti, comprese le strutture inesistenti; il phishing che sfrutta i dati delle prenotazioni e degli ospiti, cioè come vengono condivisi con le strutture e come funziona la messaggistica; gli annunci a pagamento non riconoscibili come pubblicità. Se provati, i primi due violerebbero gli articoli 34 e 35 del DSA sui rischi sistemici, il terzo l’articolo 26, paragrafo 1.
La vicepresidente esecutiva Henna Virkkunen ha dichiarato: «Gli europei dovrebbero essere in grado di prenotare le loro vacanze senza timore di essere truffati. La legge sui servizi digitali stabilisce chiare responsabilità per le piattaforme per affrontare tali rischi e dobbiamo garantire che la principale piattaforma di prenotazione in Europa prenda sul serio tali responsabilità.»
L’avvio del procedimento, precisa la Commissione, non pregiudica l’esito. Chi ha pagato continua a tutelarsi con la banca e con la denuncia, e TrueScreen serve a presentare a entrambe i messaggi in forma certificata.
Cosa fare subito dopo il messaggio sospetto
Davanti a una truffa Booking che chiede di ripagare conviene fermarsi prima di qualsiasi clic e procedere con ordine: prima la verifica della prenotazione, poi la conservazione del messaggio, infine i contatti.
La carta va bloccata appena c’è il dubbio di averne esposto i dati, mentre tutto il resto parte dalla verifica della prenotazione.
-
Non rispondere e non aprire il link per pagare
Una risposta conferma al truffatore che il contatto è attivo, e la pagina del link serve solo a raccogliere i dati. Il messaggio va lasciato dov’è.
-
Controllare la prenotazione nell’app o sul sito ufficiale
Stato e condizioni di pagamento si leggono aprendo direttamente l’app di Booking.com o il sito, mai dal link ricevuto.
-
Contattare la struttura o l’assistenza da un recapito verificato
Il recapito della struttura va preso dalla conferma, quello dell’Assistenza Clienti di Booking.com dall’app o dal sito.
-
Certificare chat e pagina prima che spariscano
TrueScreen certifica la chat sul telefono con la registrazione dello schermo e la pagina del link con il Forensic Browser, con la procedura descritta più avanti.
-
Se i dati sono stati inseriti, chiamare la banca e bloccare la carta
Va chiesto subito il blocco della carta, segnalando l’operazione come frode per limitare altri addebiti.
-
Denunciare e segnalare la truffa a Booking
La denuncia va alla Polizia Postale o a qualsiasi ufficio di polizia o dei carabinieri; la segnalazione a Booking.com parte dalla prenotazione coinvolta.
Se il pagamento è già partito: banca, denuncia e segnalazione
A pagamento avvenuto si procede su tre fronti insieme, ognuno con tempi e documenti propri.
Il rimborso non è automatico perché dipende da come viene qualificata l’operazione, ed è per questo che le prove vanno raccolte subito.
Il disconoscimento dell’addebito con la banca
Il disconoscimento (chargeback) è la contestazione con cui il titolare comunica alla banca di non aver autorizzato un’operazione. Per le operazioni non autorizzate il D.Lgs. 27 gennaio 2010, n. 11, che recepisce la direttiva (UE) 2015/2366 (PSD2), prevede la comunicazione senza indugio ed entro 13 mesi dall’addebito (art. 9), il rimborso entro la giornata operativa successiva salvo motivato sospetto di frode (art. 11) e una franchigia massima di 50 euro, salvo dolo o colpa grave (art. 12). TrueScreen documenta il contesto da cui è nato il pagamento, da allegare alla contestazione.
L’articolo 10 mette a carico della banca la prova che l’operazione sia stata autenticata e registrata correttamente. Nella truffa Booking, però, è spesso il viaggiatore ingannato a confermare con il codice ricevuto dalla banca, e la banca può quindi sostenere che l’operazione era autorizzata o che c’è colpa grave. Si valuta caso per caso e, se la risposta non convince, il passo successivo è l’Arbitro Bancario Finanziario.
La denuncia alla polizia
La truffa è prevista dall’articolo 640 del codice penale e, se c’è un intervento su un sistema informatico, può rilevare la frode informatica dell’articolo 640-ter. La denuncia si presenta alla Polizia Postale o a qualsiasi ufficio di polizia o dei carabinieri, con chat, numero del mittente, indirizzo della pagina ed estratto conto, come spiega la guida su come presentare la denuncia per una truffa online.
La segnalazione a Booking.com
La segnalazione di phishing a Booking parte dalla prenotazione: dai canali ufficiali si avvisa l’Assistenza Clienti che potrebbe trattarsi di una truffa, inviando il messaggio ricevuto.
Quali prove conservare e perché uno screenshot non basta
Le prove di una truffa Booking sono la chat, il numero del mittente, la pagina di pagamento con il suo indirizzo, i movimenti bancari, le comunicazioni con piattaforma e struttura e la ricevuta della denuncia. Le prime tre possono sparire subito dopo il pagamento, e TrueScreen le certifica mentre sono ancora visibili.
Ciò che può sparire va certificato per primo, mentre i documenti della banca e della polizia si conservano così come arrivano.
| Cosa conservare | Perché sparisce o si contesta | Come conservarlo |
|---|---|---|
| Messaggio nella chat della prenotazione | Può essere cancellato dall’account compromesso | Registrazione dello schermo nell’App TrueScreen o acquisizione certificata della chat web |
| Messaggio WhatsApp o SMS e numero del mittente | Il mittente può cancellarlo o disattivare il numero | Registrazione dello schermo con profilo e numero in vista |
| Pagina di pagamento e indirizzo (URL) | La pagina clone viene chiusa | Acquisizione certificata dal computer, senza inserire dati |
| Estratto conto e notifiche della banca | Datano l’addebito | Estratto ufficiale; notifiche certificate con la registrazione dello schermo |
| Comunicazioni con Booking.com e con la struttura | Provano che la segnalazione è stata tempestiva | Email integre e risposte in chat certificate |
| Ricevuta della denuncia | Banca e piattaforma possono chiederla | Originale e copia con gli altri documenti |
Uno screenshot resta utile, ma è un file modificabile con qualsiasi programma di fotoritocco, come mostra la guida su come si falsifica uno screenshot. Se è già stato fatto, si può certificare come file: contenuto e data restano fissati da quel momento, senza però provare quando i messaggi erano stati inviati.
Per questo chi deve presentare una denuncia o un disconoscimento usa TrueScreen per certificare il messaggio prima che sparisca: la certificazione resta anche quando la chat viene cancellata.
Come si certificano la chat e la pagina di pagamento?
Con TrueScreen la conversazione e la pagina di pagamento si certificano nel momento in cui compaiono sullo schermo: la registrazione dello schermo nell’App TrueScreen fissa la chat sul telefono, il Forensic Browser fissa la pagina del link, e ogni certificazione riceve un sigillo digitale ufficiale e una marca temporale qualificata, riconosciuti a livello internazionale.
La certificazione documenta come e quando il contenuto è stato acquisito: TrueScreen garantisce il come, non il cosa.
Non attesta che il messaggio dica il vero né identifica chi lo ha scritto, non garantisce rimborso o esito e non sostituisce la denuncia. La prova acquisita con TrueScreen ha data certa e integrità verificabile: è un elemento da presentare a banca, polizia o giudice, che ne valuta liberamente il peso.
Dal telefono: la chat della prenotazione o di WhatsApp
Si avvia la registrazione dello schermo nell’App TrueScreen, si apre la conversazione nell’app di Booking.com o in WhatsApp e si scorre fino al link. Prima di fermare la registrazione si torna nell’App TrueScreen, che mostra a schermo un codice di verifica: il filmato lo cattura a riprova che si tratta dello schermo del dispositivo. Le schermate protette dalle app risultano nere e una chat lunga richiede più registrazioni; la guida su come certificare una chat WhatsApp entra nel dettaglio.
Dal computer: chat web e pagina del link
Il Forensic Browser è l’applicazione desktop di TrueScreen per macOS e Windows: al suo interno si apre la chat web o WhatsApp Web, con la possibilità di acquisire anche il traffico di rete e gli allegati. Della pagina di pagamento consegna l’immagine, l’archivio con il sorgente, i certificati del sito e il controllo dell’orario, con lo stesso metodo che serve a certificare un sito clone prima che sparisca. Il link va aperto solo per documentarlo, senza inserire dati.
Un esempio illustrativo: una viaggiatrice riceve nella chat della prenotazione un messaggio che annuncia una carta rifiutata e chiede di pagare entro 12 ore, pena la cancellazione. Avvia la registrazione dello schermo nell’App TrueScreen e, dal computer, apre il link nel Forensic Browser senza inserire dati. Due giorni dopo il messaggio è sparito, ma la certificazione resta e viene allegata alla denuncia.
Strutture ricettive e host: dimostrare di non aver inviato quei messaggi
Una struttura con l’account compromesso deve poter dimostrare quali messaggi sono partiti dal proprio account, quando e verso quali ospiti. La Commissione europea esamina anche il modo in cui Booking.com condivide i dati degli ospiti con le strutture (comunicato del 21 ottobre 2026). Una struttura ricettiva può certificare con TrueScreen la chat della prenotazione e le comunicazioni agli ospiti, così da documentare cosa è partito dal proprio account e quando.
Per l’host la prova utile è la cronologia: cosa ha scritto la struttura, cosa è stato scritto a suo nome e quando se n’è accorta.
Vanno certificati i messaggi inviati dall’extranet, gli eventuali avvisi di accesso sospetto e gli avvisi mandati agli ospiti. L’accaduto si segnala a Booking.com dal canale per i partner, cambiando le credenziali e attivando l’autenticazione a due fattori.
In conclusione
La truffa Booking della richiesta di ripagare si regge su due elementi: dati veri della prenotazione e una scadenza che non lascia il tempo di controllare. La difesa sta nel non pagare mai fuori dalle condizioni scritte nella conferma e nel verificare ogni richiesta da un canale ufficiale; se il pagamento è già partito, la banca va avvisata subito e la denuncia presentata senza attendere. L’indagine della Commissione europea potrà cambiare le regole della piattaforma, ma non risolve il caso del singolo viaggiatore, che si gioca sulle prove: per questo la chat e la pagina del link vanno certificate prima che spariscano.
FAQ: le domande frequenti sulla truffa Booking
È vero che Booking è stato hackerato?
Chi cerca «Booking hackerato» ha di solito ricevuto un messaggio con dati veri della prenotazione. Questi dati si ottengono, per esempio, da account di strutture compromessi, cioè dall’accesso all’extranet degli albergatori. Dal 21 ottobre 2026 la Commissione europea indaga anche su come Booking.com condivide i dati di prenotazione con le strutture; l’avvio del procedimento non ne pregiudica l’esito.
Booking può chiedere di pagare di nuovo una prenotazione?
Booking.com dichiara che non chiede mai i dati della carta di credito tramite email, telefono, SMS o WhatsApp. Un pagamento anticipato o una preautorizzazione seguono le condizioni scritte nella conferma. Una richiesta di ripagare da un link arrivato in chat, con la minaccia di cancellazione, è il segnale tipico della truffa.
Se si è già pagato dal link, si possono recuperare i soldi?
Non esiste un rimborso automatico. Per le operazioni non autorizzate il D.Lgs. 11/2010 prevede la comunicazione alla banca entro 13 mesi dall’addebito, il rimborso entro la giornata operativa successiva e una franchigia massima di 50 euro, salvo dolo o colpa grave. Un pagamento confermato dalla vittima ingannata, però, può essere considerato autorizzato: si valuta caso per caso, con possibile ricorso all’Arbitro Bancario Finanziario.
Come si segnala una truffa a Booking?
Dalla prenotazione coinvolta si contatta l’Assistenza Clienti di Booking.com sui canali ufficiali, spiegando che potrebbe trattarsi di una truffa e allegando il messaggio e l’indirizzo della pagina di pagamento. La segnalazione non sostituisce la denuncia, da presentare alla Polizia Postale o a un ufficio di polizia o dei carabinieri.
Come si conserva una chat WhatsApp come prova di una truffa Booking?
TrueScreen certifica una chat WhatsApp con la registrazione dello schermo nell’App TrueScreen mentre si scorrono i messaggi; da computer si usa il Forensic Browser su WhatsApp Web. Ogni certificazione riceve un sigillo digitale ufficiale e una marca temporale qualificata, riconosciuti a livello internazionale, e resta disponibile anche se il mittente cancella il messaggio.
Fonti e verifiche
Ogni dato e ogni principio citato rimanda alla sua fonte, indicata qui con tipo e data. Link controllati alla data di pubblicazione.
| Fonte | Tipo | Dati | Per che cosa è citata |
|---|---|---|---|
| Commissione europea, comunicato IP/26/2223 | Documento | 21/10/2026 | Avvio del procedimento formale DSA su Booking.com, profili esaminati, articoli 34, 35 e 26(1), dichiarazione di Henna Virkkunen |
| Regolamento (UE) 2022/2065 (DSA), artt. 26, 34 e 35 | Norma | 2022 | Rischi sistemici delle piattaforme online di dimensioni molto grandi e riconoscibilità della pubblicità |
| Direttiva (UE) 2015/2366 (PSD2) | Norma | 2015 | Regole europee sui servizi di pagamento recepite dal D.Lgs. 11/2010 |
| D.Lgs. 27 gennaio 2010, n. 11, artt. 9-12 | Norma | 2010 | Termini, onere della prova, rimborso e franchigia per le operazioni di pagamento non autorizzate |
| Booking.com, consigli di sicurezza per i viaggiatori | Documento | 2026 | Booking.com non chiede i dati della carta via email, telefono, SMS o WhatsApp; segnalazione delle truffe |
| Arbitro Bancario Finanziario | Documento | 2026 | Ricorso dopo la risposta della banca |
| Polizia Postale, commissariato di P.S. online | Documento | 2026 | Presentazione della denuncia per truffa online |
Certificare la chat prima di segnalare la truffa
Con TrueScreen la chat della prenotazione, i messaggi WhatsApp e la pagina di pagamento si certificano prima di segnalare la truffa a Booking.com e alla banca, con un sigillo digitale ufficiale e una marca temporale qualificata, riconosciuti a livello internazionale. Ogni nuovo account parte con 2 crediti gratuiti, senza abbonamento.
Da leggere dopo
Redazione TrueScreen
Questa sezione è curata dalla redazione di TrueScreen, che riunisce competenze di informatica forense, diritto delle prove digitali e conformità normativa. Ogni contenuto è verificato sulle fonti primarie: testi di legge, sentenze pubblicate, norme tecniche e documentazione ufficiale, sempre citate nel corpo del testo.
