Sicurezza per agenzie di viaggio e tour operator: dati, pagamenti e GDS
Le agenzie di viaggio e i tour operator gestiscono dati personali in ogni fase del viaggio. Questa guida spiega come mappare i dati che conservi, proteggere gli accessi e i dati di pagamento, valutare i partner tecnologici e prepararti a un incidente di sicurezza.
Dove nasce il rischio
Dove nascono i problemi di sicurezza in un’agenzia di viaggio
La maggior parte degli incidenti di sicurezza parte da una normale attività di lavoro. Un nuovo cliente chiede con urgenza una prenotazione di gruppo. Un fornitore invia una richiesta di pagamento. Un messaggio avvisa che il tuo accesso al GDS è scaduto. Un ex collaboratore ha ancora accesso a un sistema che il tuo team usa ogni giorno.
Queste situazioni mettono sotto pressione, perché il tuo team vuole aiutare il viaggiatore e proteggere la prenotazione. Con questa pressione è facile saltare un passaggio di verifica o inserire le credenziali nella pagina sbagliata.
I dati di viaggio, inoltre, raccontano molto di una persona. Possono indicare dove intende andare, quando sarà assente, con chi viaggia e come contattarla. Il programma di viaggio di una famiglia, una prenotazione di viaggi aziendali e la pratica di un tour di gruppo possono contenere ciascuno tipi diversi di dati personali.
Esposizione
Cinque punti di esposizione da controllare in una prenotazione
Segui una prenotazione lungo tutto il tuo flusso di lavoro
- Un nuovo viaggiatore o una nuova azienda chiede un grande numero di biglietti prima che tu possa verificare chi rappresenta.
- Un’email rimanda a una pagina di accesso identica a quella del tuo GDS, del provider di pagamento o del portale di un fornitore.
- Copie dei passaporti, dati di pagamento o programmi di viaggio aggiornati restano in caselle di posta, fogli di calcolo o cartelle condivise.
- Una sede, un agente indipendente, un fornitore o un ex dipendente ha ancora accesso ai sistemi di prenotazione.
- Un attacco ransomware blocca i dati dei programmi di viaggio e dei contatti di cui il tuo team ha bisogno per assistere i viaggiatori.
Ogni problema ha conseguenze che vanno oltre la privacy. Può causare emissioni di biglietti non autorizzate, chargeback, debit memo, comunicazioni ai clienti, perdite di tempo e disservizi durante un viaggio in corso.
Una minaccia tipica del settore dei viaggi
Richieste false di viaggiatori e furto di account GDS
Oltre alle violazioni di dati, le agenzie di viaggio devono affrontare un secondo tipo di incidente di sicurezza: i truffatori possono usare una falsa richiesta di un cliente o un login GDS rubato per far emettere biglietti all’agenzia con il proprio account.
Nel 2026 l’Airlines Reporting Corporation ha segnalato un aumento delle attività legate ad accessi GDS non autorizzati. ARC ha descritto due modi per entrare in un’agenzia: un truffatore si finge un’agenzia legittima per ottenere l’accesso al GDS, oppure un messaggio di phishing cattura le credenziali di un agente. Una volta ottenuto l’accesso, il truffatore può emettere biglietti senza autorizzazione tramite l’account dell’agenzia.
ARC ha segnalato anche falsi siti di Sabre Agency Workspace e di formazione, creati per rubare le credenziali degli agenti. Le pagine sembravano portali di viaggio affidabili, ma i link rimandavano a domini molto simili a quelli originali. Una falsa pagina GDS può fornire a un malintenzionato un login valido senza che il provider del GDS abbia subìto alcuna violazione.
False richieste di prenotazione: l’urgenza nasconde verifiche poco accurate
ARC ha messo in guardia le agenzie da false richieste di viaggi aziendali e di gruppo che riguardano partenze immediate, emergenze mediche, dati di pagamento incompleti, tratte insolite e richieste di saltare i controlli abituali.
Fermati quando: un nuovo cliente chiede un grande numero di biglietti prima che tu possa verificare l’azienda, i viaggiatori, il programma di viaggio e il pagamento.
Falsi siti GDS: un logo familiare può nascondere una pagina di login rubata
I messaggi di phishing possono sostenere che un account GDS è scaduto, che una prenotazione richiede una verifica o che un workspace necessita di una nuova autenticazione urgente. Il link può portare a un falso portale Sabre o dell’agenzia.
Usa: un segnalibro affidabile o l’indirizzo del fornitore digitato a mano. Non accedere mai da un link inatteso ricevuto via email.
Accessi di terzi: il punto d’ingresso può non essere il tuo sistema
ARC ha segnalato un caso in cui sono stati emessi biglietti non autorizzati dopo la violazione di una filiale di terzi, anche se il sistema di emissione dell’agenzia non era stato compromesso direttamente.
Controlla: gli accessi in mano a filiali, collaboratori esterni, agenti indipendenti, fornitori ed ex dipendenti. Rimuovili quando il rapporto o il ruolo termina.
Prima di emettere un biglietto, il tuo team deve rispondere a due domande: «La richiesta arriva da un cliente reale?» e «Questo login porta al vero GDS?». Inserisci entrambi i controlli nel flusso di lavoro prima che qualcuno emetta un biglietto.
01
Mappa i dati gestiti dalla tua agenzia
Non puoi proteggere le informazioni che non sai dove si trovano. Parti da una semplice mappa dei dati. Segui una prenotazione dalla prima richiesta all’assistenza dopo il viaggio e annota ogni sistema, persona e fornitore che entra in contatto con essa.
Domande
Poniti queste domande per ogni tipo di dato
- Quali informazioni raccogliamo?
- Perché ci servono?
- Dove le conserviamo?
- Chi può visualizzarle, modificarle, scaricarle o condividerle?
- Quali fornitori o piattaforme le ricevono?
- Quando dobbiamo eliminarle?
Sistemi
Includi i sistemi che il tuo team usa ogni giorno
- Email, CRM e GDS
- Piattaforma mid-office e software di contabilità
- Provider di pagamento, cartelle condivise e fogli di calcolo
- Software per gli itinerari, app e portali dei fornitori
Poi raggruppa le informazioni in base al rischio. I contenuti pubblici sulle destinazioni richiedono un livello di protezione diverso rispetto ai dati del passaporto, alle informazioni di pagamento o al contatto di emergenza di un viaggiatore aziendale. Riduci al minimo i punti di accesso ai dati più riservati.
Verifica che cosa conserva il tuo team. Vecchie copie dei passaporti, fogli di calcolo duplicati, file di prenotazione scaricati e allegati email aumentano l’esposizione. Stabilisci un periodo di conservazione per ogni categoria ed elimina le informazioni quando non servono più, nel rispetto delle norme di legge e dei vincoli contrattuali applicabili al tuo mercato.
02
Proteggi account e accessi
Gli account compromessi offrono agli attaccanti una via diretta verso i dati delle prenotazioni, le conversazioni via email, i flussi di pagamento e i file dei clienti. Proteggi ogni account con controlli che il tuo team può applicare in modo costante.
Richiedi l’autenticazione a più fattori
Attiva l’autenticazione a più fattori per email, CRM, cloud storage, sistemi di prenotazione, strumenti di pagamento, account amministratore e ogni piattaforma che la supporta. Una password rubata non deve bastare da sola per accedere a un sistema aziendale.
Usa un’autenticazione resistente al phishing quando il fornitore la offre. Se non è disponibile, scegli un’app di autenticazione o una chiave di sicurezza invece di affidarti solo agli SMS.
Assegna un account personale a ogni persona
Non condividere le credenziali di un account generico dell’agenzia. Gli account personali permettono di vedere chi ha consultato una scheda, modificare i permessi quando cambia il ruolo di una persona e rimuovere l’accesso quando un dipendente o un collaboratore esterno lascia l’agenzia.
Dai a ciascuno l’accesso necessario per il proprio lavoro. Un coordinatore commerciale può aver bisogno di vedere i dati dei viaggiatori, mentre un amministratore può dover gestire le impostazioni.
Usa un password manager
Un password manager aiuta il tuo team a creare password uniche e a condividere gli accessi tramite archivi protetti, invece che per email o con fogli di calcolo. Non riutilizzare mai la stessa password per l’account email e per la piattaforma di un fornitore o di prenotazione.
Verifica gli accessi almeno due volte l’anno e dopo ogni cambio di ruolo. Rimuovi ex dipendenti, collaboratori esterni non più attivi, integrazioni inutilizzate e account che non servono più a un processo attivo.
GDS
Proteggi l’accesso al GDS e all’emissione dei biglietti
- Attiva l’autenticazione a più fattori ovunque il GDS o il servizio collegato la supporti.
- Verifica i nuovi clienti aziendali tramite recapiti trovati in modo indipendente, non solo attraverso la richiesta ricevuta via email.
- Controlla spesso l’attività sui biglietti, in particolare partenze imminenti, tratte insolite, prenotazioni di sola andata, nuovi profili di viaggiatori e aumenti improvvisi dei volumi.
- Revoca l’accesso quando un dipendente, un collaboratore, una sede o un fornitore termina il rapporto con te.
- Se qualcuno inserisce le credenziali in una pagina sospetta, reimposta la password, registra di nuovo l’MFA, esegui la scansione del dispositivo e contatta subito il GDS e ARC.
03
Insegna al team a riconoscere gli attacchi reali
La maggior parte delle agenzie di viaggio riceve messaggi dall’aspetto familiare: una fattura di un fornitore, una richiesta di modifica volo, un link di pagamento per un hotel o un messaggio urgente da parte di un dirigente. Gli attaccanti sfruttano queste situazioni note per creare pressione.
Fermati
Insegna al team a fermarsi quando un messaggio chiede
- Una password, un codice monouso o un dato di pagamento
- La modifica delle coordinate bancarie di un fornitore
- Un bonifico o un rimborso urgente
- La copia di un passaporto o un elenco di clienti
- Un link per accedere a un sistema di prenotazione o di pagamento
Verifica le richieste sensibili attraverso un canale già noto. Chiama il fornitore usando un numero di telefono già presente nei tuoi archivi, non quello indicato nel messaggio. Segnala subito i messaggi sospetti, così il team può avvisare gli altri colleghi.
CISA raccomanda alle piccole e medie imprese di includere nelle pratiche di sicurezza di base la consapevolezza sul phishing, le password robuste, l’autenticazione a più fattori e gli aggiornamenti del software. Questi controlli offrono a un’agenzia di viaggio un buon punto di partenza, senza bisogno di un grande team tecnico.
04
Proteggi dispositivi e software aziendali
Il tuo team può accedere ai dati di viaggio da laptop, smartphone, tablet e reti domestiche. Definisci uno standard minimo per ogni dispositivo che si collega ai sistemi aziendali.
Standard
Uno standard minimo per ogni dispositivo
- Installa subito gli aggiornamenti del sistema operativo e delle applicazioni.
- Attiva la crittografia completa del disco su laptop e dispositivi mobili.
- Usa il blocco automatico dello schermo dopo un breve periodo di inattività.
- Mantieni attiva la protezione antimalware e limita i privilegi di amministratore.
- Separa, ove possibile, gli account aziendali da quelli personali.
- Evita di scaricare i file dei clienti su dispositivi personali non gestiti.
- Revoca l’accesso dai dispositivi smarriti e cancellane i dati quando la tecnologia lo consente.
Verifica ogni integrazione collegata ai tuoi sistemi principali. Un vecchio connettore o un’automazione inutilizzata può mantenere l’accesso anche molto tempo dopo la fine del progetto originale. Tieni un elenco delle integrazioni, con il loro scopo, il responsabile e i dati che possono leggere o inviare.
05
Gestisci con cura i dati di pagamento
I dati di pagamento richiedono un processo dedicato. Non inserire numeri completi di carta o codici di sicurezza in email, chat, fogli di calcolo, programmi di viaggio, screenshot o cartelle condivise.
Fornitore
Usa moduli di pagamento ospitati o la tokenizzazione
Quando è un fornitore a conservare i dati della carta, verifica che cosa deve ancora fare la tua agenzia e quali obblighi PCI DSS si applicano. Il PCI Security Standards Council spiega che lo standard PCI DSS si applica alle entità che conservano, elaborano o trasmettono dati degli account di pagamento, oltre ai sistemi che possono influire sulla loro sicurezza.
Regola per il team
Dai al team una regola chiara per le richieste di pagamento
Il cliente deve sapere quale pagina di pagamento usare e il tuo team deve saper riconoscere un messaggio di pagamento legittimo. Tieni i dati delle carte fuori dal flusso di lavoro dei programmi di viaggio, quando il processo lo permette.
06
Verifica la sicurezza dei tuoi partner tecnologici
Un’agenzia può seguire buone pratiche interne e comunque ereditare un rischio da un fornitore. Controlla i sistemi che gestiscono i dati dei viaggiatori, i dati di pagamento, i documenti e i dati di localizzazione.
Chiedi a ogni fornitore tecnologico importante:
| Domanda | Che cosa vuoi capire |
|---|---|
| Come cifrate i dati? | Protezione durante la trasmissione e mentre il fornitore conserva i dati |
| Come accedono gli utenti? | MFA, SSO, regole per le password e controlli di blocco degli account |
| Come limitate l’accesso del personale? | Ruoli, privilegio minimo, revisioni degli accessi e controlli di amministrazione |
| Come vi riprendete da un incidente? | Frequenza dei backup, punti di ripristino, test di ripristino e continuità operativa |
| Come testate il servizio? | Test indipendenti, gestione delle vulnerabilità e pratiche di rilascio sicure |
| Dove ospitate ed elaborate i dati? | Regioni, subresponsabili del trattamento, trasferimenti transfrontalieri e garanzie contrattuali |
| Che cosa succede alla fine del contratto? | Esportazione, cancellazione e conservazione dei dati, e conferma dell’eliminazione |
| Come avvisate i clienti? | Referenti per gli incidenti, processo di risposta e impegni di notifica |
Chiedi al fornitore la documentazione sulla sicurezza, l’informativa sulla privacy, l’accordo sul trattamento dei dati e l’elenco dei subresponsabili. Considera le certificazioni solo una parte della tua verifica. Devi comunque capire come il fornitore gestisce il servizio specifico che la tua agenzia utilizzerà.
07
Fai il backup dei dati e testa il ripristino
I backup aiutano a ripartire dopo un ransomware, una cancellazione accidentale, un guasto del sistema o altri incidenti. Sono utili solo se coprono le informazioni di cui il team ha bisogno e se è possibile ripristinarle.
Individua i sistemi critici
Per un’agenzia di viaggio, questi sistemi possono includere le prenotazioni, i programmi di viaggio in corso, i recapiti dei viaggiatori, le conferme dei fornitori, i dati finanziari e lo storico delle richieste di assistenza.
Definisci un obiettivo di ripristino
Stabilisci quanti dati recenti puoi permetterti di perdere e in quanto tempo il team deve riprendere l’operatività. Proteggi i backup dagli account utente di uso quotidiano e fai in modo che un malintenzionato non possa eliminare tutte le copie con un solo accesso compromesso.
Testa il ripristino ogni anno
Testa il ripristino almeno una volta all’anno. Chiedi a una persona di aprire i file recuperati e di verificare che il team possa usarli in una situazione di emergenza reale. Registra il risultato e correggi le lacune finché l’esercitazione è ancora fresca.
08
Prepara un piano di risposta agli incidenti
Un piano per gli incidenti riduce la confusione quando il team ha poche informazioni e poco tempo. Mantieni la prima versione abbastanza breve da poter essere usata da tutti. Annota:
Piano
Cosa deve coprire il tuo piano per gli incidenti
- Chi guida la risposta e chi può prendere decisioni urgenti.
- Come il personale segnala un’email sospetta, un dispositivo smarrito o un account compromesso.
- Quali fornitori di tecnologia, assicurazioni, consulenti legali e autorità contattare.
- Come isolare un dispositivo o un account senza distruggere le prove.
- Come continuare ad assistere i viaggiatori se i sistemi di prenotazione o di comunicazione vanno offline.
- Come valutare i dati coinvolti e comunicare con i clienti nel rispetto delle norme applicabili.
- Come ripristinare i sistemi e analizzare la causa dopo l’incidente.
Organizza una breve esercitazione una volta all’anno. Proponi al team uno scenario realistico, come una casella di posta compromessa che contiene copie di passaporti o un attacco ransomware che blocca l’accesso ai programmi di viaggio in corso. Verifica che tutti sappiano chi chiamare, dove si trova il backup e come assistere i viaggiatori mentre i sistemi vengono ripristinati.
Gli obblighi di notifica dipendono dai paesi, dai tipi di dati, dai contratti e dalle persone coinvolte. Chiedi a consulenti legali qualificati di confermare le norme che si applicano alla tua attività. Il piano per gli incidenti deve fornire loro rapidamente le informazioni di cui hanno bisogno.
09
Crea una routine di sicurezza
La sicurezza migliora quando il team la considera un’abitudine operativa. Aggiungi pochi controlli al ritmo di gestione che già seguite.
| Frequenza | Controllo |
|---|---|
| Ogni giorno | Segnala i messaggi sospetti, segui le procedure di pagamento e applica gli aggiornamenti di sicurezza urgenti |
| Ogni mese | Controlla gli avvisi, i nuovi utenti, gli ex utenti, le integrazioni e gli accessi insoliti |
| Ogni trimestre | Elimina le esportazioni obsolete, controlla i fornitori più importanti e aggiorna le indicazioni per il personale |
| Due volte all’anno | Controlla i permessi degli utenti e gli account amministratore |
| Ogni anno | Testa i backup, prova il piano per gli incidenti e rivedi la mappa dei dati |
Tieni traccia del responsabile e della data di ogni controllo. Un semplice registro permette al team di mostrare con chiarezza cosa ha verificato e cosa ha modificato.
mTrip
Come mTrip affronta la sicurezza dei dati
Quando valuti una piattaforma per creare itinerari o un’app di viaggio con il tuo brand, chiedi al fornitore di spiegare i suoi controlli di sicurezza in termini altrettanto concreti. mTrip pubblica le proprie pratiche di sicurezza per agenzie, tour operator e TMC.
Hosting su Amazon Web Services
La piattaforma funziona su Amazon Web Services. I clienti europei sono ospitati a Francoforte, in Germania, mentre i file caricati vengono archiviati a Londra, nel Regno Unito. Gli altri clienti sono ospitati in Virginia settentrionale, negli Stati Uniti.
Crittografia in transito e a riposo
mTrip dichiara che il traffico della piattaforma e delle API usa TLS 1.2 o superiore. Database, archiviazione dei file e backup sono crittografati a riposo con AES-256, e l’applicazione crittografa i campi sensibili dei viaggiatori, come indirizzi email, numeri di telefono, date di nascita e riferimenti di prenotazione.
Backup giornalieri, testati ogni anno
La piattaforma esegue backup giornalieri crittografati, con ripristino point-in-time fino a sette giorni. mTrip copia i backup in una seconda regione AWS, li protegge dalla cancellazione e verifica il ripristino almeno una volta all’anno.
Accessi controllati e test indipendenti
mTrip descrive accessi controllati, autenticazione a più fattori, registrazione delle attività amministrative, rilevamento continuo delle minacce e test indipendenti della piattaforma e delle app mobile almeno una volta all’anno.
I clienti possono richiedere i documenti sulla sicurezza tramite il mTrip Trust Center. Prima di scegliere un fornitore di tecnologia, confronta i dettagli aggiornati con le tue esigenze.
Verifica della sicurezza
Le domande da fare a ogni fornitore di tecnologia per il turismo
Chiedi dove sono ospitati i dati, come vengono controllati gli accessi, come vengono testati i backup, come si segnalano gli incidenti e che cosa accade ai tuoi dati quando il contratto termina.
Da dove iniziare
Parti dai controlli che riducono di più il rischio
Con un breve progetto iniziale puoi fare progressi concreti:
Piano d’azione
Sei controlli per un primo progetto
- Mappa i dati presenti nel flusso di prenotazioni e programmi di viaggio.
- Attiva l’autenticazione a più fattori su ogni account importante.
- Elimina i vecchi utenti, le credenziali condivise e le integrazioni inutilizzate.
- Non lasciare i dati completi delle carte di pagamento in email, documenti e fogli di calcolo.
- Verifica che i backup funzionino provando un ripristino.
- Scrivi un piano di gestione degli incidenti e mettilo in pratica con il tuo team.
La sicurezza dei dati tutela l’esperienza di viaggio che la tua agenzia costruisce con tanto impegno. Offre inoltre al tuo team un modo più sicuro per gestire prenotazioni, documenti e assistenza durante gli imprevisti, man mano che cresce il numero di viaggi.
Per approfondire, leggi le buone pratiche di mTrip sui documenti di viaggio e la checklist per scegliere un software di duty of care.
Il settore turistico in generale
Cosa hanno imparato altre aziende del turismo dagli attacchi
Questi esempi riguardano aziende del turismo di grandi dimensioni, ma gli stessi problemi possono emergere anche nei flussi di lavoro di un’agenzia o di un tour operator: sistemi obsoleti, credenziali rubate, dati di pagamento, accessi dei fornitori e piani di ripristino poco solidi.
Gruppo alberghiero
Marriott e il database delle prenotazioni Starwood
Nel novembre 2018 Marriott ha annunciato che una parte non autorizzata aveva avuto accesso alla rete Starwood dal 2014. Il database conteneva informazioni su circa 500 milioni di ospiti al massimo. Per circa 327 milioni di ospiti, i dati comprendevano varie combinazioni di nomi, indirizzi, numeri di telefono, indirizzi email, numeri di passaporto, dettagli degli account fedeltà, date di nascita e informazioni su arrivo e partenza.
Cosa ne ricaviamo: verifica i sistemi ereditati, le vecchie integrazioni e i database acquisiti. Mantieni aggiornata la mappa dei dati, elimina quelli che non ti servono più e monitora gli accessi agli archivi delle prenotazioni.
Compagnia aerea
British Airways e i dati di pagamento sul sito web
British Airways ha segnalato un incidente avvenuto nel 2018, che ha coinvolto i dati dei clienti inseriti attraverso il suo sito web. L’Information Commissioner’s Office britannico ha poi registrato che erano coinvolti i dati di circa 429.000 persone, tra cui credenziali di accesso, carte di pagamento, prenotazioni di viaggio, nomi e indirizzi.
Cosa ne ricaviamo: proteggi i moduli di prenotazione pubblici, gli account degli amministratori, i flussi di pagamento e i servizi collegati. Tieni i dati di pagamento fuori dai sistemi che non hanno bisogno di conservarli e monitora le attività insolite.
Compagnia aerea
easyJet e un grande database di clienti
easyJet ha comunicato una violazione di dati nel 2020 che ha coinvolto circa 9 milioni di clienti. L’incidente ha riguardato anche i dati della carta di 2.208 clienti. Le dimensioni del caso mostrano con quanta rapidità un solo sistema compromesso possa diventare un problema di comunicazione con i clienti, di conformità legale e di assistenza.
Cosa ne ricaviamo: sappi quali categorie di dati conservi, chi ha bisogno di accedervi e come contatterai i clienti coinvolti. Il piano di gestione degli incidenti dovrebbe prevedere sia l’assistenza ai clienti sia il ripristino tecnico.
TMC
CWT e l’interruzione causata dal ransomware
Nel 2020 la TMC CWT ha subito un attacco ransomware. Secondo Reuters, gli aggressori hanno dichiarato di aver copiato 30.000 file e CWT ha pagato un riscatto durante la gestione dell’emergenza. Il caso mostra quanto in fretta il blocco dei sistemi possa colpire un’azienda i cui team gestiscono viaggi in corso e assistenza ai viaggiatori.
Cosa ne ricaviamo: backup e procedure di ripristino meritano la stessa attenzione della prevenzione. Verifica se il team riesce ad accedere alle informazioni essenziali sui viaggi e ad assistere i viaggiatori quando i sistemi principali sono offline.
Verifica con mTrip il flusso dei tuoi dati di viaggio
Parla con il team mTrip di dati degli itinerari, documenti di viaggio, app con il tuo brand e requisiti di sicurezza. Se stai avviando la valutazione di un fornitore, leggi prima la pagina sulla sicurezza di mTrip.
Per approfondire
Fonti e approfondimenti
- NIST Cybersecurity Framework 2.0
- CISA: Secure Your Business
- PCI Security Standards Council: risorse per gli esercenti
- Marriott: incidente di sicurezza al database delle prenotazioni degli ospiti Starwood
- UK Information Commissioner’s Office: provvedimento su British Airways
- UK Information Commissioner’s Office: provvedimento su easyJet
- Reuters: CWT ha pagato un riscatto di 4,5 milioni di dollari a una banda di ransomware
- ARC: allerte e schemi di frode che colpiscono le agenzie di viaggio
- ARC: Reasonable Care and Cyber Security Guide
- ARC: formazione obbligatoria sulla sicurezza per gli agenti