“Mi hanno scritto con il mio nome, il nome del campeggio e il numero della prenotazione: deve essere vero.” È proprio il ragionamento su cui conta chi ha rubato quei dati. Un dato giusto dimostra solo che qualcuno l’ha letto, non che il messaggio arrivi da chi dice.
Cosa è successo ai campeggi TCS?
Ignoti sono entrati nel sistema di prenotazione usato dai campeggi TCS e hanno copiato i dati delle prenotazioni. Il sistema è di un fornitore esterno, ed è stato violato attraverso la falla di PHP di cui abbiamo scritto il 21 ottobre: la prova concreta che un problema sul server di un fornitore può finire, pochi giorni dopo, sul telefono del cliente.
Il TCS ha confermato la fuga di dati e ha avvisato per precauzione circa 15’000 clienti. La falla nel frattempo è stata chiusa.
Secondo il TCS, i dati bancari e l’IBAN non sono stati compromessi; i truffatori hanno però inviato messaggi WhatsApp che si riferiscono a prenotazioni esistenti.
Quali dati hanno rubato, e quali no?
| Dato | Rubato? |
|---|---|
| Nome e cognome | Sì |
| Numero di telefono | Sì |
| Numero di prenotazione | Sì |
| IBAN e dati bancari | No, secondo il TCS |
| Carta di credito | No: il sistema di prenotazione non la salva |
Il punto pericoloso è proprio questa combinazione: chi ti scrive conosce chi sei, dove hai prenotato e il tuo numero di prenotazione. Non ha però i tuoi soldi: per averli deve convincerti a pagare o a darti i dati della carta. È lì che puoi fermarlo.
Come riconosco il messaggio falso?
Basta una regola: il TCS non ti scrive su WhatsApp per la prenotazione. Il TCS ha precisato che non manda via WhatsApp dettagli automatici sulla prenotazione, link o richieste di pagamento. Quindi un messaggio WhatsApp «del campeggio» che:
- ti chiede di pagare un saldo, una caparra, una «tassa di soggiorno» o un «conguaglio»;
- ti chiede di confermare la prenotazione da un link, pena la cancellazione;
- ti chiede i dati della carta o un pagamento TWINT a un numero sconosciuto;
è una truffa, anche se contiene il tuo numero di prenotazione giusto. Lo stesso vale per un’email con le stesse richieste: controlla sempre dal sito o dall’app dove hai prenotato, aperti da te.
Ho già pagato o dato i dati della carta: cosa faccio?
- Chiama subito la banca o l’emittente della carta al numero sul retro e fai bloccare la carta. Se hai pagato con TWINT, contatta la tua banca: più sei veloce, più ci sono possibilità di fermare il pagamento.
- Avvisa il campeggio dal numero che trovi sul suo sito ufficiale, non da quello del messaggio.
- Segnala il messaggio all’UFCS e, se hai perso denaro, sporgi denuncia alla polizia cantonale.
- Blocca il numero su WhatsApp e segnalalo come spam.
Perché i dati veri rendono la truffa più credibile?
Perché siamo abituati a pensare che solo l’azienda conosca quei dettagli. Dopo una fuga di dati non è più così. È lo stesso schema visto a ottobre con il falso rimborso degli hotel e con la fuga di dati di Ricardo: prima si rubano i dati, poi si scrive alle vittime usandoli come prova di essere «ufficiali».
Se gestisci un’attività che lavora con prenotazioni (hotel, B&B, campeggio, ristorante, studio medico), c’è anche l’altra faccia: chiedi al fornitore del tuo sistema di prenotazione se ha installato la correzione per PHP2Shell. Come scoprirlo lo spieghiamo in PHP2Shell non riguarda solo WordPress.
Il Metodo 3V applicato al messaggio del campeggio
| Fase | Cosa fai |
|---|---|
| Verifica: chi mi scrive davvero? | Un numero WhatsApp sconosciuto non è il campeggio, anche se conosce la tua prenotazione |
| Validazione: me lo conferma il campeggio? | Apri tu il sito o l’app dove hai prenotato, o chiama il numero ufficiale |
| Velocità controllata: c’è fretta? | No. Una «cancellazione entro un’ora» è la leva della truffa, non una regola del campeggio |
Domande frequenti
Mi è arrivato un WhatsApp dal campeggio TCS con il mio numero di prenotazione: è vero?
Molto probabilmente no. Il TCS ha precisato che non manda via WhatsApp dettagli di prenotazione, link o richieste di pagamento. Dopo la fuga di dati di fine ottobre 2026 i truffatori conoscono nomi, telefoni e numeri di prenotazione. Non pagare e controlla dal sito ufficiale.
Sono stati rubati anche i dati della mia carta?
Secondo il TCS no: IBAN e dati bancari non sono stati compromessi e le carte di credito non vengono salvate nel sistema di prenotazione. Proprio per questo i truffatori cercano di farti pagare o di farti inserire la carta su un sito falso.
Ho pagato con il link del messaggio: cosa faccio?
Chiama subito la banca o l'emittente della carta e fai bloccare la carta o il pagamento. Poi avvisa il campeggio dal numero ufficiale, segnala il caso all'UFCS e sporgi denuncia alla polizia cantonale. Conserva il messaggio e la ricevuta del pagamento.
Come facevano i truffatori ad avere i miei dati?
Li hanno copiati dal sistema di prenotazione di un fornitore esterno, entrando dalla falla di PHP pubblicata il 21 ottobre 2026. Non è colpa tua e non serve cambiare la password: serve diffidare di ogni richiesta di pagamento che arriva su WhatsApp.
I dati rubati non scadono: i messaggi falsi possono arrivare anche tra settimane, quando il caso sarà dimenticato. Avvisa oggi chi in famiglia ha prenotato un campeggio quest’anno, e ricordagli l’unica regola che serve: nessun pagamento da un link su WhatsApp.
