Spostamenti

Hotel: ciò che può essere compromesso in 4 ore

I vettori reali di compromissione in hotel: Wi-Fi, casseforti, serrature, personale, camera lasciata sola.

Pubblicato il November 20, 2025 16 min di lettura Exposed

Ultima revisione: January 30, 2026

Un dirigente apicale ripone il laptop nella cassaforte della camera, a Pechino, e va in riunione. Sei ore. Al ritorno, tutto è al suo posto: la macchina è esattamente dove l’ha lasciata, la schermata di blocco lo attende, la cassaforte è richiusa. Dorme tranquillo. Tre settimane dopo, il concorrente che trattava lo stesso asset tira fuori dal nulla un’offerta calibrata al milione sul modello finanziario che dormiva su quel disco. Nessuno saprà mai dimostrare il legame. È esattamente il problema: la compromissione di una camera d’albergo non lascia traccia, ed è per questo che si continua a credere che non accada.

Angle de lecture

Particulier RSSI / DSI

La trappola abituale

« L’hotel è sicuro, ho messo il laptop nella cassaforte. » Lo sento a ogni audit di trasferta, dalla bocca di persone intelligenti e per il resto prudenti. La frase poggia su una confusione tra due minacce che non hanno nulla a che vedere: il furto opportunistico — un cliente che ha sbagliato piano, una squadra di pulizie che ruba un orologio — e l’accesso malevolo organizzato, cioè un avversario che vuole precisamente ciò che c’è sul Suo dispositivo e che dispone di un accesso legittimo alla stanza. Contro il primo, la cassaforte è una barriera ragionevole. Contro il secondo, è un foglio di carta su cui è scritto « privato ».

La seconda trappola è culturale. Abbiamo interiorizzato l’hotel come un prolungamento del domicilio: un luogo privato, chiuso a chiave, dove si abbassa la guardia. È l’opposto. Una camera d’albergo è uno spazio di cui Lei non controlla né le pareti, né la serratura, né la rete, né le apparecchiature, e al quale un numero sorprendente di persone ha un accesso perfettamente legale. Il personale di piano, la manutenzione, la sicurezza della struttura, la direzione, e in certe giurisdizioni i servizi dello Stato su semplice richiesta. Lei non è a casa Sua. È inquilino di un volume condiviso, gestito da un terzo i cui interessi non sono i Suoi.

La terza trappola è credere che la minaccia si riduca al « farsi bucare il Wi-Fi ». Il Wi-Fi è il vettore più noto e più facile da chiudere — un VPN e una eSIM, e si è risolto. I vettori che fanno male sono fisici: la serratura della porta, la cassaforte, l’accesso in Sua assenza, le apparecchiature della camera. Sono anche quelli di cui nessuno parla, perché sono invisibili e contraddicono l’idea rassicurante di controllare qualcosa. Questo articolo inverte la gerarchia: si comincia da ciò che conta, non da ciò che si racconta.

Il modello di minaccia reale: ciò che può cadere in quattro ore

Quattro ore è la durata di una riunione. È anche, ampiamente, il tempo che serve a qualcuno di preparato per fare ciò che segue in una camera vuota. Elenchiamo i vettori nell’ordine del loro impatto reale, non della loro notorietà.

La serratura della porta non è l’ostacolo che si immagina. Nel 2024, la ricerca battezzata Unsaflok — scusi, riformulo: il team Unsaflok ha pubblicato una catena di falle che colpiscono le serrature RFID Saflok del produttore dormakaba, installate su più di tre milioni di porte in circa 13.000 strutture distribuite in 166 Paesi. Con una sola card dell’hotel — anche una card scaduta, raccolta da un cestino o recuperata alla reception — e un lettore-codificatore da qualche decina di euro, un attaccante forgia in pochi secondi una master card che apre qualunque porta della struttura. La correzione presuppone un aggiornamento di ogni serratura e spesso un cambio del sistema di codifica; nel 2025, una parte del parco mondiale non era ancora corretta. Ricordi il principio, non il solo nome: una serratura d’albergo è un prodotto di comodità concepito per la praticità operativa dell’albergatore, non per resistere a un avversario motivato.

La cassaforte della camera è una messinscena. I modelli installati nelle camere — Saflok, Ilco, Phoenix, e simili — condividono caratteristiche che li squalificano per proteggere dei dati. Anzitutto, esiste un codice master di reset, fornito dal produttore per riaprire la cassaforte quando un cliente dimentica il codice; questo codice è spesso identico per tutto un modello, documentato nei forum dei fabbri e nei talk delle conferenze di sicurezza, e noto al personale. Poi, molti modelli economici accettano un codice predefinito mai cambiato (000000, 999999, 123456) mai riconfigurato all’installazione. Infine, il contenitore stesso si forza meccanicamente in pochi minuti su molti modelli. La cassaforte ferma il cliente distratto e la cameriera onesta. Non ferma nessuno che voglia entrare.

L’accesso in Sua assenza è la regola, non l’eccezione. Una camera viene pulita, rifornita, mantenuta. Del personale vi entra legalmente ogni giorno, talvolta più volte. In questa finestra, l’attacco detto evil maid — formalizzato da Joanna Rutkowska già nel 2009 — diventa banale: un accesso fisico breve a un dispositivo incustodito basta. Se il disco non è cifrato, lo si clona integralmente in quindici-quarantacinque minuti con un kit che sta in una tasca. Se la macchina è in sospensione anziché spenta, la chiave di cifratura è in memoria e l’attacco al disco cifrato torna possibile. Al ritorno, nulla si è mosso. È la definizione stessa di una compromissione riuscita: invisibile.

Il resto della camera è ostile anch’esso. La rete Wi-Fi dell’hotel è una rete condivisa tra centinaia di sconosciuti, spesso gestita da un fornitore « hospitality » i cui standard di sicurezza non valgono quelli di una rete aziendale, con una segmentazione tra camere assente o raffazzonata — un terreno ideale per un MITM. Il televisore connesso è un microfono e una telecamera di cui Lei non controlla la configurazione. Le colonnine di ricarica USB, le porte HDMI degli schermi delle sale riunioni, la stampante del business center che conserva in memoria gli ultimi documenti: altrettante superfici che Lei non ha verificato e che non verificherà mai.

Mettiamo delle durate su questi vettori, perché è l’unico modo per calibrare correttamente il rischio. Forgiare una master card su un parco Saflok vulnerabile: pochi secondi una volta avuto il materiale in mano. Aprire una cassaforte di camera tramite codice master o codice predefinito: uno-tre minuti; forzarla meccanicamente: cinque-dieci. Clonare un disco non cifrato o svegliare una macchina in sospensione per estrarne le chiavi: quindici-quarantacinque minuti. Impiantare un dispositivo d’ascolto discreto o riconfigurare un televisore connesso: meno di cinque minuti per qualcuno attrezzato. Sommi: l’intero scenario — entrare, aprire, copiare, ripartire senza lasciare traccia — sta nella finestra di una riunione di lavoro. Quattro ore non è una scadenza stretta per l’attaccante. È comoda.

Una precisazione che cambia tutto: nessuno di questi vettori presuppone un servizio di intelligence di Stato. Il concorrente che vuole il Suo modello finanziario, lo studio avversario che vuole le Sue conclusioni, l’investigatore privato incaricato per una causa di divorzio o un contenzioso commerciale — tutti hanno accesso allo stesso materiale a qualche decina di euro e alle stesse tecniche documentate pubblicamente. La barriera d’ingresso è crollata. Ciò che un tempo richiedeva un know-how raro oggi si ordina online e si impara su video di conferenze. È proprio per questo che la sicurezza alberghiera, a lungo riservata ai profili « sensibili », riguarda ormai qualunque dirigente portatore di un’informazione che vale denaro per qualcuno.

Aneddoto operativo

Un test a grandezza naturale, su mandato di un cliente, in un quattro stelle di una capitale del Sud-est asiatico. Brief: riprodurre ciò che farebbe un concorrente. Abbiamo ottenuto una card d’accesso scaduta di una camera vicina, liberata la mattina stessa, semplicemente chiedendola « per recuperare un oggetto dimenticato ». Sulla cassaforte della camera bersaglio, il codice master predefinito del modello, trovato online in due minuti, ha aperto il contenitore al primo colpo. All’interno, un laptop in sospensione. Non abbiamo copiato nulla — non era il perimetro — ma il cronometro si è fermato a undici minuti tra l’ingresso nel corridoio e la cassaforte aperta. Il cliente pensava che la sua principale debolezza fosse il Wi-Fi. Era la serratura, la cassaforte, e l’idea che una porta chiusa significhi qualcosa.

L’approccio giusto: presumere l’accesso, ridurre ciò che c’è da prendere

La svolta mentale sta in una frase: non si mette in sicurezza una camera d’albergo, si riduce ciò che una camera compromessa può consegnare. Lei non ha alcun mezzo affidabile per garantire che nessuno entrerà, né per sapere se qualcuno è entrato. Parta quindi dall’ipotesi inversa — l’accesso c’è stato — e si organizzi perché quell’accesso non dia nulla di sfruttabile. È esattamente la logica del modello di minaccia: non si combatte l’attaccante sul suo terreno (la porta, la cassaforte), si sposta il combattimento sul Suo (ciò che il dispositivo contiene e come comunica).

In concreto, ciò si traduce in tre principi. Primo principio: ciò che non è nella camera non può essere preso nella camera. Il dispositivo che porta deve contenere solo ciò di cui la missione ha bisogno, e nulla della memoria operativa dell’organizzazione. Sincronizzazione su richiesta anziché copia locale completa, cartella « Download » svuotata, cronologie di messaggistica eliminate. Un laptop che non contiene nulla di sensibile trasforma una clonazione riuscita in un non evento. È la leva più potente, e la meno costosa: non richiede alcun materiale, solo disciplina prima della partenza.

Secondo principio: il dispositivo lasciato è un dispositivo spento e cifrato, mai in sospensione. L’attacco al disco cifrato non funziona contro una macchina spenta con cifratura integrale attiva, perché la chiave non è da nessuna parte in memoria. Lei esce dalla camera, spegne — davvero, non « chiudere il coperchio ». Il cavo antifurto non ferma un professionista con dieci minuti, ma elimina l’accesso opportunistico e segnala che Lei non è un bersaglio facile, il che basta a reindirizzare un attaccante verso la camera accanto. Per le trasferte a posta in gioco reale, il dispositivo non resta in camera: La accompagna.

Terzo principio: il canale di comunicazione non passa mai per l’hotel per ciò che conta. Il Wi-Fi della struttura è riservato agli usi esponibili senza conseguenze — leggere i giornali, guardare un film. Tutto ciò che tocca i sistemi aziendali passa per una eSIM locale o il tethering del telefono, con un VPN attivato prima di toccare la minima rete. Il riflesso da invertire è quello del « mi connetto prima, lancio il VPN dopo »: tra i due, il Suo traffico in chiaro è già transitato per la rete dell’hotel, ed è proprio il momento che un MITM attende. L’ordine corretto è inviolabile: VPN prima, rete dopo.

Questi tre principi hanno una virtù comune: non dipendono dalla qualità dell’hotel. Un palace cinque stelle dalla sicurezza fisica impeccabile e una struttura di catena senza personale notturno pongono lo stesso problema di fondo, perché il problema non è il livello di gamma ma la natura della relazione. Lei è inquilino temporaneo di uno spazio gestito da un terzo, punto. Smettere di valutare il rischio in base allo standing della struttura — « è un buon hotel, andrà bene » — è metà del cammino. L’altra metà è accettare che questi gesti diventino una routine e non una decisione da riprendere a ogni viaggio. La sicurezza che dipende da un arbitraggio ripetuto finisce sempre per cedere alla stanchezza; quella diventata un automatismo regge.

Le conversazioni e le sale riunioni

Il versante più trascurato della sicurezza alberghiera non è il dispositivo, è ciò che esce dalla Sua bocca. In Paese occidentale, per un profilo non specificamente preso di mira, il rischio di microfono in camera è basso — non nullo, ma non la minaccia prioritaria. In giurisdizione a intercettazione matura, è un’altra storia: le camere e le suite frequentate da delegazioni d’affari straniere sono bersagli d’interesse noti, e casi documentati di captazione esistono. Il costo di una conversazione sensibile mal collocata è asimmetrico: ciò che dice ad alta voce non si cifra, non si salva, non si recupera.

Il televisore connesso merita una menzione particolare, perché è in tutte le camere e nessuno lo guarda come una minaccia. I produttori di smart TV hanno precedenti documentati di captazione audio — il caso Samsung del 2015, in cui l’informativa sulla privacy avvertiva letteralmente di non tenere conversazioni sensibili davanti al televisore, è solo il più celebre. In una camera d’albergo, Lei non ha alcun controllo sul firmware, sulla configurazione o sulle eventuali modifiche del dispositivo. Il riflesso minimo: scollegare fisicamente il televisore quando lavora su un tema sensibile, o quanto meno considerarlo un microfono potenziale.

Le sale riunioni d’albergo concentrano entrambi i rischi. I sistemi audiovisivi integrati — microfoni da tavolo, videoconferenza — sono gestiti dal personale o da un fornitore, e in un contesto a rischio possono essere configurati per una captazione discreta senza che Lei possa rilevarla. Il materiale di presentazione è altrettanto insidioso: collegare il Suo laptop alla porta HDMI di uno schermo di sala significa connetterlo a una catena di fiducia che Lei non ha verificato, e adattatori HDMI modificati capaci di esfiltrare dati sono stati osservati in contesti di spionaggio economico mirato. La regola per una riunione che conta: presenti dal Suo schermo, condiviso sul Suo punto d’accesso, senza collegare nulla ai sistemi della sala. Per gli scambi davvero riservati, esca — una terrazza di un bar, un parco, una passeggiata. Uno spazio pubblico aperto offre migliori condizioni di protezione di una sala chiusa di cui Lei non controlla alcuna apparecchiatura, perché il rumore ambientale e l’imprevedibilità del luogo complicano la captazione mirata.

Cosa comporta concretamente

Per Lei, come privato

Tre gesti, applicabili dalla prossima trasferta, sotto i 200 euro in tutto.

Spenga il dispositivo, non lo metta in sospensione — e dimentichi la cassaforte. Prima di lasciare la camera, spegnimento completo del laptop con disco cifrato (FileVault, BitLocker o LUKS, da verificare, non da supporre). La cassaforte non protegge nulla che valga la pena di proteggere: se un dato è davvero sensibile, non deve essere in camera affatto. Idealmente, il dispositivo La accompagna. Altrimenti, cavo antifurto e macchina spenta. Costo: 0-25 euro per un cavo.
Wi-Fi hotel vietato per tutto ciò che conta, eSIM + VPN per il resto. Acquisti una eSIM locale (Airalo, Holafly, o l’offerta internazionale del Suo operatore) e attivi il Suo VPN prima di connettersi a qualunque cosa. Il Wi-Fi della struttura serve solo per usi che accetterebbe di vedere pubblicati. Costo: 5-30 euro per la eSIM, il VPN è spesso già incluso nei Suoi abbonamenti.
Scolleghi gli account, infili le carte in una custodia anti-RFID. Scolleghi dal dispositivo da viaggio gli account cloud che non userà (foto di famiglia, mail secondaria, cartelle pro inutili). Una custodia o un portafoglio anti-RFID (15-30 euro) protegge le Sue carte bancarie e il Suo passaporto biometrico da una lettura a distanza in una hall affollata — e per inciso, non lasci mai in giro la Sua card d’accesso alla camera, si clona in due secondi.

Per Lei, CISO / Direzione IT / dirigente

La sicurezza alberghiera è strutturalmente debole, e la vulnerabilità Unsaflok del 2024 lo ha dimostrato su scala di milioni di porte. Non è un aneddoto da conferenza: è la conferma che Lei non può esternalizzare la fiducia verso l’albergatore. La Sua policy di viaggio deve codificarlo esplicitamente.

1. La policy di viaggio deve trattare l’hotel come un ambiente non affidabile per default. Finché la camera è implicitamente considerata « sicura », i Suoi collaboratori vi lasceranno materiale e vi terranno conversazioni sensibili. La regola deve essere scritta: nessun dispositivo contenente dati critici resta incustodito, nessuna riunione riservata in una camera in giurisdizione a rischio. Conseguenza diretta: Lei inserisce l’hotel nel perimetro della Sua ISO 27001 allo stesso titolo della postazione di lavoro, con misure auditabili per livello di Paese.

2. Il clean desk si applica anche in trasferta, ed è tecnicamente verificabile a monte. Un dispositivo da viaggio che contiene solo lo stretto necessario trasforma una clonazione in un non evento. Ciò presuppone una sincronizzazione su richiesta, cronologie di messaggistica limitate, e una postazione di viaggio predisposta. Conseguenza diretta: per le trasferte di livello elevato, Lei fornisce un’immagine di viaggio dedicata anziché la macchina di produzione, e apre un ticket di risposta agli incidenti di ritorno già prima della partenza.

3. L’attivazione della misura deve essere automatica, non lasciata alla vigilanza individuale. Nessuno consulta spontaneamente la procedura prima di prenotare. Il segnale deve partire dalla prenotazione o dalla nota spese e allertare l’IT per le destinazioni sensibili. Conseguenza diretta: Lei collega un trigger allo strumento di prenotazione corporate, con un alert verso il SOC appena viene rilevata una destinazione a intercettazione matura, e un briefing obbligatorio prima della partenza.

Errori che si vedono di continuo

Lasciare il laptop in sospensione nella cassaforte. Cumulo di due illusioni: la cassaforte si apre in pochi minuti, e la sospensione lascia la chiave di cifratura sfruttabile. Una macchina spenta nella borsa che porta con sé vale più di una macchina in sospensione nella migliore cassaforte del mondo.
Credere che la porta chiusa garantisca l’intimità. La serratura RFID è un prodotto di comodità, non un dispositivo di sicurezza. Unsaflok lo ha dimostrato su milioni di porte. Lei non saprà mai se qualcuno è entrato.
Tenere una conversazione riservata in camera in Paese a rischio. Il televisore connesso, le apparecchiature integrate, e talvolta i muri non sono dalla Sua parte. Le discussioni sensibili si tengono all’esterno, in uno spazio pubblico non isolato dove le condizioni d’ascolto sono sfavorevoli.
Collegare il laptop alla porta HDMI della sala riunioni « giusto per la presentazione ». Lei si collega a una catena di fiducia che non controlla. Presenti dal Suo schermo, condiviso sul Suo punto d’accesso.
Usare il Wi-Fi dell’hotel per accedere ai sistemi aziendali. Rete condivisa, fornitore opaco, segmentazione dubbia: è un Wi-Fi pubblico con un logo più elegante. eSIM e VPN, senza eccezione, per tutto ciò che è professionale.
Stampare un documento sensibile sul materiale dell’hotel. Le stampanti e le fotocopiatrici conservano in memoria gli ultimi file, spesso in chiaro. In una struttura frequentata da delegazioni d’affari, questa memoria è una miniera per chi vi ha accesso.

Checklist azionabile

N1 Spegnere completamente il laptop lasciando la camera (mai in sospensione)
N1 Non lasciare nulla di sensibile nella cassaforte — non è sicura
N1 Cavo antifurto sul laptop per gli usi a bassa posta in gioco
N1 Card d'accesso mai lasciata incustodita (clonabile in secondi)
N1 Custodia anti-RFID per carte bancarie e passaporto biometrico
N2 Wi-Fi hotel riservato esclusivamente agli usi non sensibili
N2 eSIM locale + VPN attivato prima di ogni connessione per l'uso pro
N2 Account cloud inutili scollegati dal dispositivo da viaggio
N2 Cartella Download e cronologie di messaggistica eliminate prima della partenza
N2 Nessuna stampa di documento riservato sul materiale dell'hotel
N2 Nessun collegamento alle porte HDMI/USB delle apparecchiature della camera
N3 Dispositivo da viaggio dedicato (immagine pulita) per le destinazioni a rischio
N3 Nessuna conversazione riservata in camera in giurisdizione a rischio
N3 Presentazioni dal proprio schermo, senza collegarsi alla sala
N3 Ipotesi di accesso mantenuta al ritorno: isolamento e scansione prima della riconnessione di rete

Per approfondire

La ricerca Unsaflok (unsaflok.com) documenta in dettaglio la catena di falle delle serrature RFID Saflok, la sua portata — più di tre milioni di porte in 166 Paesi — e lo stato lento del dispiegamento delle correzioni; da leggere per misurare che la debolezza non è teorica. Il talk associato al DEF CON 32 mostra la meccanica di sfruttamento. Sul versante della difesa individuale, la guida Surveillance Self-Defense dell’EFF (ssd.eff.org) resta la migliore porta d’ingresso gratuita sui vettori fisici e di rete, e l’ACN pubblica consigli ai viaggiatori brevi e fattuali, troppo spesso ignorati. Il post fondante di Joanna Rutkowska sull’attacco evil maid (2009) spiega perché una macchina in sospensione non è una macchina protetta.

Per collegare l’hotel al resto del ciclo di trasferta: la preparazione pre-partenza spiega come predisporre un dispositivo che non consegna nulla nemmeno se clonato; frontiere e dogane tratta il momento in cui la confisca diventa legale; e viaggiare in Cina dettaglia il caso delle giurisdizioni a intercettazione matura, dove l’ipotesi di accesso alla camera cessa di essere una precauzione per diventare una certezza operativa.