Cerca Ho subito un attacco Consulenza Menu
Ho subito un attacco
Per me Panoramica: Per me
Per le aziende Panoramica: Per le aziende
Costi e confronto Panoramica: Costi e confronto
Situazione in Svizzera Panoramica: Situazione in Svizzera

Albergo e alloggio: cosa può succedere, e chi paga?

limitato 12 posizioni di costo su 18 di regola coperte

5 casi tipici con scontrino: quanto costano e quale posizione paga di solito l’assicurazione cyber. Secondo le nostre ricerche, va considerato in particolare «Account Booking violato, ospiti truffati con richieste di acconto» (probabilità alta).

Stato al

Albergo e alloggio1. Account Booking violato, ospiti truffati con richieste di acconto13. Un ransomware blocca il software alberghiero e le carte delle camere34. Versamenti di Booking.com su un conto altrui45. Centralino telefonico abusato per chiamate all’estero52. Dati di prenotazione sottratti presso un fornitore di software2

Account Booking violato, ospiti truffati con richieste di acconto

Un ransomware blocca il software alberghiero e le carte delle camere

Versamenti di Booking.com su un conto altrui

Centralino telefonico abusato per chiamate all’estero

Dati di prenotazione sottratti presso un fornitore di software

Tocchi un numero: porta allo scenario.

In questa pagina
  1. Scenari
  2. Un giorno chiuso
  3. In rete
  4. Casi reali

5 scenari, 5 scontrini

  1. Account Booking violato, ospiti truffati con richieste di acconto
  2. Dati di prenotazione sottratti presso un fornitore di software
  3. Un ransomware blocca il software alberghiero e le carte delle camere
  4. Versamenti di Booking.com su un conto altrui
  5. Centralino telefonico abusato per chiamate all’estero

1Account Booking violato, ospiti truffati con richieste di acconto

Scontrino

Albergo e alloggio

Tocchi una riga per la motivazione

  • Forensica: pulire i computer, verificare gli accessi, mettere in sicurezza l’extranet CHF 1'500–8'000 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 6–20 h × CHF 250–400/h (fascia di mercato incident response)

  • Informazione degli ospiti interessati, hotline con personale proprio nessuna cifra affidabile coperto

    Informazione delle persone interessate nella copertura di base; per lo più è necessario il consenso preventivo dell’assicuratore. Calcolo: Prezzi dei call center non trovati; affrancatura CHF 1.00–1.20 per lettera, per lo più per e-mail.

  • Avvocato: obblighi di notifica secondo la LPD, informazione delle persone interessate, difesa contro le pretese CHF 1'000–5'200 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 4–15 h × CHF 250–350/h (tariffa d’avvocato in Svizzera)

  • Pretese degli ospiti danneggiati CHF 0–20'000 non chiaro

    La responsabilità civile cyber presuppone una violazione della protezione dei dati o una violazione della sicurezza della rete presso l’assicurato; se basti la violazione dell’account del portale non è disciplinato. Calcolo: Ipotesi: da 0 a 50 ospiti × fino a CHF 400 di acconto; in un caso documentato Booking.com si è assunta i costi supplementari (V-IT-2026-001).

  • Annullamenti e danno d’immagine nessuna cifra affidabile non coperto

    Perdita di guadagno per danno d’immagine: Helvetia la esclude espressamente, AXA, Mobiliare e Zurich non la prevedono; solo Chubb come complemento. I costi PR li paga g.soforthilfe. Calcolo: Non quantificabile.

Pagato di solito dalla polizza cyber
CHF 2'500–13'200, più 1 voce senza importo
Incerto o solo con un complemento
CHF 0–20'000
Resta di solito all’azienda
1 voce senza importo

Probabilità alta

La reception apre l’e-mail di un presunto ospite con un link a un «portale di prenotazione»; un falso captcha le fa eseguire un comando che ruba i dati d’accesso. Gli autori accedono all’extranet di Booking e, tramite il vero sistema di messaggistica, inviano agli ospiti l’invito a «confermare di nuovo» la carta di credito.

Come si svolge

Decine di ospiti pagano acconti agli autori, alcuni si presentano poi alla reception con una prenotazione non valida. Ospiti, Booking.com e media si rivolgono all’albergo.

Punto d’ingresso: Phishing o programma dannoso contro l’account extranet dell’albergo

Cosa cambia l’IA: I testi IA a nome dell’albergo sono linguisticamente perfetti e contengono dati di prenotazione reali; captcha e portali falsi si costruiscono in fretta.

Perché alta? Descritto più volte dall’UFCS (2024 e 2025), documentato anche in Austria e in Italia; colpisce alberghi di ogni dimensione.

Dove sta scritto?

Woche 52: Gezielter, komplexer, raffinierter – Knapp 65'000 Meldungen ans BACS im 2025, 30.12.2025

Aprire il documento: Woche 52: Gezielter, komplexer, raffinierter – Knapp 65'000 Meldungen ans BACS im 2025 (si apre in una nuova finestra), consultato il 06.11.2026

Cosa previene

  • Autenticazione a due fattori nell’extranet per ogni account, nessun login condiviso.
  • Formare la reception: non eseguire comandi provenienti da captcha (tasto Windows+R è sempre una truffa).
  • Avvertire gli ospiti nella conferma di prenotazione che l’albergo non chiede mai dati di carte tramite link.
Insidie nelle condizioni

Moduli: Aiuto immediato in caso di emergenza, Informare le persone interessate, Pretese di terzi dopo una fuga di dati, Danno d’immagine

2Dati di prenotazione sottratti presso un fornitore di software

Scontrino

Albergo e alloggio

Tocchi una riga per la motivazione

  • Forensica IT e incident response (analisi, contenimento, conservazione delle prove) CHF 1'500–9'600 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 6–24 h × CHF 250–400/h (fascia di mercato incident response)

  • Avvocato: obblighi di notifica secondo la LPD, informazione delle persone interessate, difesa contro le pretese CHF 1'200–7'000 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 5–20 h × CHF 250–350/h (tariffa d’avvocato in Svizzera)

  • Notifica agli ospiti per lettera (solo affrancatura) CHF 2'000–12'000 coperto

    Informazione delle persone interessate nella copertura di base; per lo più è necessario il consenso preventivo dell’assicuratore. Calcolo: 2'000–10'000 lettere × CHF 1.00–1.20 (posta B/A 2026); stampa, busta e preparazione degli indirizzi non trovate, si aggiungerebbero

  • Pretese degli ospiti danneggiati nessuna cifra affidabile coperto

    Pretese di terzi e difesa contro pretese infondate nella copertura di base; collettiva Sunrise/AXA fino a CHF 200'000. Calcolo: Nessun importo trovato.

Pagato di solito dalla polizza cyber
CHF 4'700–28'600, più 1 voce senza importo
Incerto o solo con un complemento
niente
Resta di solito all’azienda
niente

Probabilità alta

Tramite un programma obsoleto di un fornitore di software esterno, dei criminali ottengono indirizzi e-mail e soggiorni futuri degli ospiti. Scrivono agli ospiti che la prenotazione sarà annullata a causa di un errore di pagamento e chiedono i dati della carta.

Come si svolge

L’albergo avverte circa 10'000 ospiti.

Punto d’ingresso: Catena di fornitura: componente del sistema di prenotazione

Cosa cambia l’IA: L’IA genera e-mail nella lingua di ogni ospite.

Perché alta? Documentati due casi di alberghi svizzeri nel 2024 e nel 2026.

Cosa previene

  • Disciplinare per contratto con il fornitore il trattamento su incarico, gli aggiornamenti e i termini di notifica.
  • Avere pronto un avviso per gli ospiti.
  • Fornire ai sistemi di terzi solo i dati necessari.
Insidie nelle condizioni

Moduli: Aiuto immediato in caso di emergenza, Informare le persone interessate, Pretese di terzi dopo una fuga di dati

3Un ransomware blocca il software alberghiero e le carte delle camere

Scontrino

Albergo e alloggio

Tocchi una riga per la motivazione

  • Forensica IT e incident response (analisi, contenimento, conservazione delle prove) CHF 2'500–16'000 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 10–40 h × CHF 250–400/h (fascia di mercato incident response)

  • Fornitore IT: pulizia, ricostruzione, ripristino del backup CHF 5'400–20'300 coperto

    Ripristino di dati, software e sistemi nella copertura di base; collettiva Sunrise/AXA solo fino a CHF 20'000 per danni propri. Calcolo: 20–60 h × CHF 270–338/h (supporto IT con supplemento del 50 % fuori dall’orario d’ufficio)

  • Reinstallazione delle postazioni di lavoro (PC, tablet) CHF 900–12'000 coperto

    Ripristino di dati, software e sistemi nella copertura di base; collettiva Sunrise/AXA solo fino a CHF 20'000 per danni propri. Calcolo: 5–15 apparecchi × CHF 180–800 per apparecchio

  • Perdita di fatturato (annullamenti, prestazioni non fatturabili) CHF 2'500–7'500 limitato

    Solo dopo il periodo di attesa (AXA 12 h, Mobiliare 12 h solo con complemento, Helvetia 24 h, Zurich solo Optimum/Premium). Viene risarcito il fatturato meno i costi risparmiati (AXA) o l’EBITDA (Helvetia), non il fatturato. Calcolo: 1–3 giorni × circa CHF 8'340 di fatturato/giorno × 30 % (ipotesi) (statistica IVA AFC 2024, media delle imprese assoggettate all’IVA; le piccole imprese si situano più in basso)

  • Riscatto (sconsigliato) CHF 1'500 limitato

    Riscatto: Mobiliare e Sunrise mai, AXA solo con estensione, Zurich nel sottolimite 25 %, Helvetia CHF 30'000–100'000, Chubb in linea di principio sì; denuncia alla polizia obbligatoria. Calcolo: Caso di confronto Austria: pagati circa EUR 1'500 (2017).

Pagato di solito dalla polizza cyber
CHF 8'800–48'300
Incerto o solo con un complemento
CHF 4'000–9'000
Resta di solito all’azienda
niente

Probabilità media

In un fine settimana al completo un ransomware cifra il server dell’albergo. Non sono possibili né check-in né fatture, il sistema di chiusura non programma nuove carte per le camere.

Come si svolge

Il personale tiene liste a mano e apre le camere con il passe-partout.

Punto d’ingresso: E-mail di candidatura o di un ospite con programma dannoso, vecchio accesso remoto

Cosa cambia l’IA: L’IA accelera la scoperta di lacune aperte (router, VPN, manutenzione remota) e la redazione di e-mail di estorsione; il tempo tra la pubblicazione di una lacuna e l’attacco si accorcia, il termine per le patch degli assicuratori (14 o 30 giorni) diventa stretto.

Perché media? Documentato presso un albergo austriaco (sistema di chiusura) e un albergo zurighese (trojan in una candidatura).

Cosa previene

  • Sistema di chiusura e impiantistica dell’edificio in una rete propria.
  • Cartella d’emergenza: stampare ogni giorno la lista degli ospiti, chiavi d’emergenza meccaniche.
  • Backup offline, testare il ripristino.
Insidie nelle condizioni

Moduli: Aiuto immediato in caso di emergenza, Ripristinare dati e sistemi, Perdita di guadagno dopo un attacco, Cyberestorsione

4Versamenti di Booking.com su un conto altrui

Scontrino

Albergo e alloggio

Tocchi una riga per la motivazione

  • Versamenti mancati CHF 41'700–125'100 non chiaro

    Nessun attacco al proprio sistema informatico e nessun pagamento avviato dall’albergo: né il social engineering (bonifico proprio) né la copertura e-banking si applicano in modo univoco. Helvetia 3.3.1.8 richiede una manipolazione sul sistema informatico dell’assicurato. Calcolo: 10–30 giorni × circa CHF 8'340 di fatturato/giorno × 50 % (ipotesi: quota delle prenotazioni via portale) (statistica IVA AFC 2024, media delle imprese assoggettate all’IVA; le piccole imprese si situano più in basso)

  • Forensica IT e incident response (analisi, contenimento, conservazione delle prove) CHF 750–4'000 coperto

    Nella copertura di base presso AXA, Mobiliare, Zurich, Helvetia e Chubb; misure immediate AXA fino a CHF 5'000 senza franchigia. Calcolo: 3–10 h × CHF 250–400/h (fascia di mercato incident response)

Pagato di solito dalla polizza cyber
CHF 750–4'000
Incerto o solo con un complemento
CHF 41'700–125'100
Resta di solito all’azienda
niente

Probabilità media

Dopo un phishing gli autori modificano nell’extranet le coordinate bancarie per i versamenti. Booking.com bonifica gli incassi di un mese su un conto estero.

Come si svolge

L’albergo se ne accorge solo alla riconciliazione mensile.

Punto d’ingresso: Presa di controllo dell’account extranet

Cosa cambia l’IA: L’IA scrive e-mail di phishing senza errori, su misura per la persona, in un tedesco vicino al dialetto; il vecchio segnale d’allarme «tedesco scorretto» viene meno. Secondo IBM nel 2025 gli aggressori hanno usato l’IA nel 16 % delle violazioni dei dati, per lo più per il phishing.

Perché media? Citato come esempio di avvertimento dalla Camera dell’economia austriaca; per la Svizzera nessun caso pubblico.

Cosa previene

  • Autenticazione a due fattori e notifica in caso di modifica delle coordinate bancarie nell’extranet.
  • Riconciliare i versamenti ogni settimana.
  • Diritti admin nell’extranet per una sola persona.
Insidie nelle condizioni
  • Solo denaro proprio: Mobiliare (B8) e Zurich (art. 702) risarciscono solo mezzi di pagamento dell’assicurato. Se un cliente, a causa dell’account e-mail violato, paga su un conto sbagliato, tra le CGA esaminate solo Helvetia lo copre espressamente (3.3.1.8 lett. b, sottolimite).
    Dove sta scritto?

    Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial), Ausgabe Juni 2026, Ziff. 3.3.1.8 lit. b, S. 12

    «wenn diese finanzielle Transaktion aufgrund einer auf dem IT-System des Versicherungsnehmers vorgenommene Manipulation»

    Aprire il documento: Allgemeine Versicherungsbedingungen Helvetia Cyber-Versicherung (Musterwording KMU-Spezial) (si apre in una nuova finestra), consultato il 06.11.2026

  • Il social engineering è per lo più solo un modulo complementare (AXA A6, Mobiliare B8, Zurich modulo G Premium) o ha un sottolimite basso (Helvetia ECO CHF 30'000). Senza complemento la polizza cyber non paga l’importo bonificato.
    Dove sta scritto?

    Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen, Ausgabe 01.2024, Ziff. B8.1

    «Der Versicherungsschutz gilt, sofern diese Deckung ausdrücklich in der Police erwähnt ist.»

    Aprire il documento: Cyberversicherung, Kundeninformationen und Allgemeine Bedingungen (si apre in una nuova finestra), consultato il 06.11.2026

Moduli: Truffa con istruzioni false, Aiuto immediato in caso di emergenza

5Centralino telefonico abusato per chiamate all’estero

Scontrino

Albergo e alloggio

Tocchi una riga per la motivazione

  • Fattura telefonica CHF 2'000–30'000 opzionale

    AXA e Mobiliare come complemento (Mobiliare al massimo 60 giorni di spese telefoniche), Zurich 60 giorni nel sottolimite 25 %, Helvetia nella copertura di base. Calcolo: Caso modello Helvetia «diverse decine di migliaia di franchi»; limite inferiore come ipotesi.

  • Mettere in sicurezza il centralino telefonico CHF 360–1'400 coperto

    Ripristino di dati, software e sistemi nella copertura di base; collettiva Sunrise/AXA solo fino a CHF 20'000 per danni propri. Calcolo: 2–6 h × CHF 180–225/h (supporto IT PMI, orario d’ufficio)

Pagato di solito dalla polizza cyber
CHF 360–1'400
Incerto o solo con un complemento
CHF 2'000–30'000
Resta di solito all’azienda
niente

Probabilità bassa

Tramite una password standard del centralino IP gli autori telefonano per ore nel fine settimana verso costosi numeri esteri. A fine mese arriva una fattura di diverse migliaia di franchi.

Come si svolge

Punto d’ingresso: Centralino telefonico con password standard, accesso remoto aperto

Cosa cambia l’IA: Quasi nessun legame con l’IA; prova automatizzata delle password.

Perché bassa? Helvetia cita il phreaking come caso modello con «diverse decine di migliaia di franchi»; i singoli casi svizzeri non sono pubblici.

Dove sta scritto?

Broschüre Cyber-Versicherung, 07.26 (Nr. 120015329)

Aprire il documento: Broschüre Cyber-Versicherung (si apre in una nuova finestra), consultato il 06.11.2026

Cosa previene

  • Cambiare le password standard del centralino telefonico.
  • Impostare presso il fornitore il blocco delle chiamate all’estero e un limite di costo.
  • Manutenzione remota dell’impianto solo su richiesta.
Insidie nelle condizioni

Moduli: Pirateria telefonica e costi aggiuntivi, Ripristinare dati e sistemi

Fasce per una piccola o media azienda, non una prestazione assicurativa. Si aggiungono franchigia, somme e sottolimiti. Le barre di tutti gli scontrini hanno la stessa scala.

Panoramica secondo le condizioni pubbliche, stato al 06.11.2026. Fanno fede soltanto la sua polizza e le relative condizioni generali di assicurazione (CGA). Nessuna promessa di copertura.

Quanto costa un giorno di fermo

CHF 8'340 Fatturato medio al giorno; la sua azienda può essere più piccola.

CHF 800–3'100 Premio annuo per una microimpresa, valore indicativo secondo la tariffa Helvetia, gruppo B, non un’offerta.

Da dove vengono le cifre

Media delle imprese assoggettate all’IVA (AFC 2024); le piccole imprese si situano più in basso. È assicurata solo la perdita di guadagno dopo il periodo di attesa (fatturato meno costi risparmiati o EBITDA). Affidabilità: media.

Periodo di attesa: perdita di guadagno solo dopo 12 ore (AXA; Mobiliare solo con complemento B4) o 24 ore (Helvetia); per Zurich solo in Optimum/Premium, periodo di attesa secondo la polizza. Un’interruzione inferiore al periodo di attesa resta a carico dell’impresa.

Solo pochi assicuratori pubblicano tariffe. Attribuiamo il suo settore alla tariffa Helvetia Gruppo B (tra l’altro consulenza, albergo, ramo dei veicoli a motore); questa attribuzione è nostra, non dell’assicuratore.

Premi indicativi per Albergo e alloggio all’anno (valore indicativo, non un’offerta)
Azienda Somma assicurata Premio annuo Derivazione
PMI CHF 5–10 mio. di fatturato, gruppi da A a C Danni propri 200'000–500'000, responsabilità civile 500'000–1 mio. circa CHF 800–3'100Valore indicativo, non un’offerta
Derivazione per PMI CHF 5–10 mio. di fatturato, gruppi da A a C

Derivazione: limite inferiore = premio annuo pubblico più basso (Helvetia KMU-Spezial ECO, tariffa 01.07.2026), limite superiore = variante TOP dello stesso gruppo. Controprova: Zurich Basic da 410 / Optimum da 690 (opuscolo 2023, parametri sconosciuti), Sunrise/AXA 479 con 20k/200k. Solo due assicuratori con prezzi pubblici; prezzo di tariffa prima dell’esame del rischio e senza sconti. Valore indicativo, derivato; nessuna offerta.

Dove sta scritto?

Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle), Ausgabe 01.07.2026, Ziff. 1.3

Aprire il documento: Antrag Cyber-Versicherung – KMU-Spezial (mit Prämientabelle) (si apre in una nuova finestra), consultato il 06.11.2026

Cosa è collegato in rete in azienda

Casi reali

  • Svizzera · 03.2024

    Alberghi con account Booking.com (anonimi)

    Dopo una prenotazione tramite booking.com gli ospiti hanno ricevuto un messaggio a nome del loro albergo secondo cui la carta di credito doveva essere verificata di nuovo.

  • Svizzera · 03.2025

    Alberghi e i loro ospiti (anonimi)

    Gli aggressori si sono spacciati presso alcuni alberghi per ospiti con un problema irrisolto e hanno inviato un link a un presunto portale booking.com.

  • Svizzera · 07.2024

    Hotel Waldstätterhof

    Tramite un vecchio programma dei criminali hanno violato un fornitore di software esterno dell’albergo e sottratto indirizzi e-mail e soggiorni futuri degli ospiti.

Altri 6 casi e casi esemplari

  • Svizzera · 09.2026

    Hotel Schweizerhof Lenzerheide

    Dei criminali hanno sottratto dati di prenotazione da un componente del sistema di prenotazione dell’albergo e hanno scritto agli ospiti via WhatsApp.

  • Svizzera · 11.2018

    Albergo (anonimo)

    Una sera il direttore di un albergo nella regione di Zurigo ha aperto una candidatura, perché l’albergo stava cercando personale.

  • AustriaEstero: Austria

    Struttura ricettiva (anonima)

    Ignoti hanno preso il controllo dell’accesso extranet di una struttura ricettiva austriaca su Booking.com e hanno modificato le coordinate bancarie per i versamenti.

  • Italia · 2026Estero: Italia

    Viaggiatori e alloggio a Roma (alloggio non indicato)

    Gli autori avevano preso il controllo dell’account Booking.com di un vero alloggio a Roma, modificato indirizzo e foto e invitato gli ospiti a inserire i dati di pagamento tramite un link.

  • Austria · 01.2017Estero: Austria

    Romantik Seehotel Jägerwirt

    In uno di diversi attacchi un ransomware ha paralizzato il sistema delle carte magnetiche delle camere; gli ospiti non riuscivano più a entrare nelle loro camere, non era possibile programmare nuove carte.

  • Caso esemplare di un assicuratore: Helvetia

    Un hacker manipola il centralino telefonico di un’impresa (phreaking); terzi telefonano di continuo all’estero a caro prezzo, a fine mese arriva una fattura di diverse decine di migliaia di franchi.

    Caso modello dell’assicuratore senza importi; Helvetia: prestazioni «a seconda del pacchetto di prestazioni scelto». Importo solo come ordine di grandezza («diverse decine di migliaia di franchi»), quindi chf null.

    Dove sta scritto?

    Cyber-Versicherung (Broschüre), 07.26 (Nr. 120015329), S. 6/9, «Firmentelefonanlage manipuliert»

    «erhält das Unternehmen am Ende des Monats eine überraschend hohe Telefonrechnung von mehreren Zehntausend Franken.»

    Aprire il documento: Cyber-Versicherung (Broschüre) (si apre in una nuova finestra), consultato il 06.11.2026

Tre strade per proseguire