Non serve violare un sistema per iniziare a costruire un attacco: spesso basta osservare. Il rischio cyber in vacanza può iniziare da dettagli considerati innocui. Una mail automatica con le date precise di assenza, la foto del biglietto aereo, la story sui social pubblicata dall’hotel, la riunione fatta dal bar della spiaggia, un QR code scansionato per pagare un parcheggio o consultare un menù. Informazioni separate e apparentemente poco utili. Ma molto più interessanti quando vengono messe a sistema.
L’insieme di dettagli su assenze, ruoli, relazioni e abitudini può diventare materiale utile per social engineering, phishing mirato e raccolta informativa: il 2026 Data Breach Investigations Report Executive Summary di Verizon indica che l’elemento umano è presente nel 62% delle violazioni analizzate e che il social engineering rappresenta il 16% dei breach. E poi, ovviamente, c’è l’aggravante di essere in un contesto diffuso di minaccia ibrida: le informazioni personali diventano un rischio quando vengono aggregate con altri dati pubblici e usate per identificare persone chiave, momenti di minore presidio o procedure interne vulnerabili.
Vecchi trucchi possono essere applicati a nuovi contesti: “La mia nonna chiedeva ai vicini di casa di svuotarci quotidianamente la cassetta delle lettere, per non far capire ai ladri che eravamo al mare. Oggi pubblichiamo sui social biglietti dell’aereo, foto del resort, percorsi: questo indica a chi ci segue sui social quando venire a svaligiarci casa con serenità, ad esempio. Su LinkedIn, da dove magari si evince che l’utente è responsabile IT, CISO, responsabile del SOC, l’incrocio con il dato dell’assenza può dare dettagli su quando l’azienda è meno protetta”, racconta Alessio Pennasilico, Senior Partner, Information & Cyber Security Advisor, CISO e Referente CSIRT esternalizzato di diverse Organizzazioni per P4I – Digital360 Advisory.
Indice degli argomenti
Cybersecurity in vacanza, perché l’assenza è un’informazione sensibile
Scrivere nella risposta automatica della propria mail aziendale le date esatte della propria assenza può sembrare una normale formula di cortesia, ma possono veicolare informazioni utili a eventuali attori malevoli.
Per esempio, per alcuni ruoli aziendali, soprattutto in ambito IT, sicurezza, amministrazione, direzione, acquisti e gestione fornitori, indicare con precisione la finestra di assenza può aiutare chi prepara una frode o un attacco. Un problema di quantità di informazione ceduta senza necessità: ruolo, periodo di indisponibilità, eventuale sostituto, canale alternativo, tempi di risposta più lenti. In estate questi elementi si sommano a organici ridotti, reperibilità frammentata e processi decisionali spesso affidati a sostituzioni temporanee.
Una risposta automatica più prudente può limitarsi a comunicare l’indisponibilità temporanea e, se necessario, un contatto alternativo generico o di team. Bisognerebbe evitare le date precise, la destinazione e i dettagli sull’organizzazione interna.
Social e familiari: la superficie informativa non coincide con il dipendente
Le informazioni più utili per un attaccante non arrivano sempre dal profilo del dipendente. Possono arrivare dal partner, da un figlio, da un amico, da un collega, da un fornitore o da una foto pubblicata con leggerezza. Una persona può non dire nulla sul proprio account LinkedIn o sui social di Meta o TikTok, ma essere comunque esposta da contenuti pubblicati da altri. Un esempio pratico è quello di un utente di cui si individua il partner su Facebook, magari perché l’informazione sullo status è pubblica, un dato che può essere incrociato “con l’informazione su LinkedIn sul ruolo dell’utente come CISO di un’azienda. Il partner magari pubblica sui social biglietti o foto in real time. E così i criminali sanno che il CISO di quella azienda è in vacanza, in che periodo e dove. In un mondo in cui l’AI può elaborare un enorme numero di informazioni ad una velocità mai vista, queste sono correlazioni banali per un attore malevolo”, commenta Pennasilico.
La questione riguarda anche dipendenti, clienti e fornitori. Un consulente che lavora con accessi privilegiati, un amministrativo che gestisce pagamenti, un responsabile tecnico che pubblica in tempo reale il proprio viaggio o un fornitore che segnala pubblicamente un presidio ridotto possono diventare punti di ingresso informativi.
Dal post in spiaggia alla frode aziendale: i pericoli del real time
La pubblicazione in tempo reale rende più facile capire dove si trova una persona, quando non è raggiungibile, quanto è distratta e chi potrebbe sostituirla. In un contesto aziendale, questi segnali possono alimentare tentativi di phishing, frodi del CEO, richieste di cambio Iban, finte urgenze su pagamenti o comunicazioni costruite per apparire coerenti con l’assenza del responsabile.
Oltretutto, gli attaccanti non devono sempre scegliere una vittima perché è famosa o perché l’azienda ha un valore evidente. Possono cercare condizioni favorevoli: pochi addetti IT, processi deboli, ruoli esposti, ferie dichiarate, social aperti, assenza di un presidio di sicurezza strutturato: “Ci sono aziende che possono essere oggetto di attacchi mirati. Questo avviene magari per proprietà intellettuale posseduta o per capacità economica di pagare riscatti. Soprattutto in Italia, questo è un numero piccolo rispetto al totale delle aziende. Ma non ci sono solo gli attacchi mirati, ci sono anche quelli a strascico”, precisa Pennasilico.
Si pensi al phishing/CEO Fraud come modalità: “Certo che per alcune aziende i criminali possono inviare una mail ad-hoc ad una persona dell’amministrazione con potere dispositivo. Ma a tutti arrivano mail del genere ‘ciao sono la tua banca, clicca qui’, da account che sfruttano nomi di istituti di credito dove non abbiamo nemmeno il conto corrente”, aggiunge.
L’AI peggiora la situazione: “Quanto ci vuole nel 2026 a fare un agente AI per cercare il target giusto incrociando dati pubblici e informazioni dai social? In questo caso si mira a un’azienda non perché interessante, ma perché ha le caratteristiche che interessano al criminale, indipendentemente da settore merceologico o tipo di business”, precisa l’esperto.
Truffe travel e phishing: i dati 2026
Bisogna poi stare sempre attenti alle truffe legate al periodo estivo. La stagione dei viaggi concentra prenotazioni, pagamenti, rimborsi, conferme, utilizzo delle app di trasporto, noleggi, assicurazioni, messaggi di hotel e notifiche delle compagnie aeree. Questo ecosistema rende più credibile una comunicazione fraudolenta: un presunto rimborso, una prenotazione cancellata, un check-in da completare, un link di pagamento, un’offerta con scadenza immediata.
Secondo dati raccolti da Facile.it pubblicati il 23 giugno 2026, basati su un’indagine commissionata all’istituto EMG, nell’ultimo anno più di 4,3 milioni di italiani sono stati vittima di una truffa o di un tentativo di frode legato alla prenotazione delle vacanze, con un danno economico complessivo superiore a 195 milioni di euro.
La forma più diffusa è la struttura ricettiva inesistente, che ha coinvolto più di 3,4 milioni di persone; oltre un milione ha scoperto l’inganno solo dopo essere arrivato a destinazione. Il fenomeno tocca anche biglietti aerei, noleggio auto ed escursioni. Il dato più utile per la sensibilizzazione riguarda i giovani: tra i 18-24 anni la quota di chi ha subito una truffa o un tentativo di frode arriva al 44,6%, contro una media nazionale del 14%.
Anche i dati statunitensi confermano il peso economico del fenomeno. Nel Consumer Sentinel Network Data Book 2024, la Federal Trade Commission indica 58.347 segnalazioni nella categoria “Travel, Vacations and Timeshare Plans”. Nel 67% dei casi era riportata una perdita economica, per un totale di 274 milioni di dollari e una perdita mediana di 922 dollari.
Kaspersky Safe Travel Insights: i brand di viaggio come esca
Una nota di Kaspersky del 29 luglio 2026 mostra quanto i marchi del travel siano appetibili per i cybercriminali. Tra il secondo trimestre 2025 e il primo trimestre 2026, le soluzioni Kaspersky hanno registrato quasi 270mila tentativi di attacco distribuiti sotto le sembianze di brand legati ai viaggi.
La quota principale riguarda i grandi marchi del trasporto: 262.663 rilevazioni associate ai brand analizzati. Le imitazioni di Emirates rappresentano il 61% delle rilevazioni in questa categoria, seguite da Uber con il 37%. Tra file e oggetti associati ai marchi di trasporto, i trojan sono la minaccia più frequente, con il 30,5% delle rilevazioni, seguiti dai trojan banker al 22,5%.
Kaspersky ha analizzato anche minacce camuffate da servizi di viaggio e accommodation, tra cui Booking.com, TripAdvisor, Agoda, Airbnb e Viator: nello stesso periodo sono stati registrati 5.414 tentativi di attacco, con i trojan al 54,6% delle rilevazioni. Il rischio non riguarda solo la prenotazione persa. Account travel, dati di pagamento, conversazioni con strutture ricettive, cronologie di viaggio e credenziali possono diventare materiale utile per frodi successive o accessi non autorizzati.
Cura dei device personali e aziendali
In vacanza la distinzione tra dispositivo personale e aziendale tende a indebolirsi. Lo smartphone personale riceve codici di autenticazione, email, messaggi di lavoro, notifiche bancarie e app di prenotazione. Il laptop aziendale può collegarsi da hotel, case vacanza, aeroporti o reti condivise. Una riunione urgente può essere gestita dal telefono, magari con documenti riservati aperti sullo schermo.
Il rischio aumenta quando si sommano tre fattori: connessioni non controllate, attenzione ridotta e urgenza. Una finta mail della compagnia aerea, un QR code malevolo o un messaggio su una prenotazione cancellata possono arrivare nello stesso dispositivo usato per accedere a servizi aziendali. Se le credenziali sono riutilizzate, se manca l’autenticazione a più fattori o se il device non è cifrato, il danno può superare la sfera personale.
Smart working, attenzione al contesto fisico
Lo smart working in vacanza va trattato con più cautela del lavoro da casa. Il contesto cambia: reti meno affidabili, spazi condivisi, persone vicine, schermi visibili, conversazioni ascoltabili. Una call riservata fatta da un luogo pubblico può esporre informazioni senza malware, senza phishing e senza violazioni tecniche.
Anche la destinazione conta. In alcuni Paesi possono esistere regole particolari su controlli dei dispositivi, credenziali e ispezioni alle frontiere. Per trasferte con dati sensibili o proprietà intellettuale, l’azienda dovrebbe stabilire in anticipo quali dispositivi portare, quali dati conservare localmente e quali accessi limitare durante il viaggio.
Il decalogo di best practice per la cybersecurity in vacanza
Ma come fare in pratica? Alcuni consigli da attuare sono:
- Limitare le informazioni negli out of office: indicare solo l’assenza temporanea e un contatto alternativo essenziale, evitando date dettagliate, destinazione, reperibilità personale e informazioni sui presidi aziendali
- Pubblicare foto e racconti di viaggio solo al rientro: evitare stories, biglietti, itinerari, hotel e geolocalizzazioni in tempo reale, anche sui profili di familiari e accompagnatori
- Usare hotspot o connessioni controllate quando possibile: evitare wifi pubblici non necessari in aeroporti, stazioni, hotel e stabilimenti; se il wifi pubblico è indispensabile, usare una VPN affidabile (a pagamento) e non svolgere operazioni sensibili
- Verificare link, URL e app di viaggio: prenotare da siti e app ufficiali, controllare domini simili a quelli legittimi, scaricare applicazioni solo dagli store ufficiali e diffidare di offerte troppo vantaggiose o urgenti
- Trattare i QR code come link sconosciuti: scansionare solo codici provenienti da fonti affidabili, controllare l’indirizzo di destinazione e non scaricare app o file suggeriti da QR code non verificati
- Evitare porte USB pubbliche o sconosciute: usare il proprio alimentatore, un power bank o accessori di sola ricarica, perché una porta apparentemente innocua può esporre il dispositivo a trasferimenti dati indesiderati
- Proteggere i dispositivi prima della partenza: applicare aggiornamenti, attivare pin o password robuste, blocco automatico dello schermo, autenticazione a più fattori, cifratura, localizzazione e cancellazione da remoto
- Fare backup dei dati importanti: preparare una copia aggiornata prima del viaggio, così furto, guasto o smarrimento del dispositivo non diventano perdita definitiva di dati personali o aziendali
- Non lasciare smartphone e laptop incustoditi: proprio come, è importante ricordarlo in ogni occasione, i propri animali domestici vanno portati con sé in vacanza d’estate, anche i device non vanno lasciati soli. Bisogna portarli con sé o custodirli in luogo sicuro. Inoltre è importante usare privacy screen in treno, aereo e spazi condivisi, evitare schermate riservate visibili a persone vicine
- Separare lavoro e vacanza quando si gestiscono informazioni sensibili: non discutere dati confidenziali dal bar dell’hotel o dall’ombrellone, non approvare pagamenti o modifiche Iban senza verifica su canale indipendente, non aggirare le policy aziendali per comodità.
La sicurezza estiva è una prova di igiene digitale
Le vacanze non rendono automaticamente più vulnerabili le tecnologie, ma espongono abitudini, connessioni e ruoli. Si prenota di fretta, si paga dallo smartphone, si clicca su messaggi che sembrano plausibili, si pubblica di più, si lavora da luoghi meno controllati e si comunica l’assenza con troppa precisione: “L’estate non rende magicamente più efficienti ed efficaci i criminali. Rende più distratte le persone, riduce i presidi aziendali e moltiplica prenotazioni, pagamenti, QR code e messaggi urgenti sullo smartphone. Gli attaccanti non vanno in ferie: aspettano che ci andiamo noi”, aggiunge Pennasilico.
Serve sobrietà informativa, avere dispositivi aggiornati, conoscere procedure semplici e dotarsi di una consapevolezza precisa: ciò che una persona pubblica o accetta in viaggio può diventare un rischio per l’organizzazione a cui appartiene.
Partecipa alla community