Attacco hacker a Manchester Airports Group: 8,7 milioni di clienti e la lezione che l’hotellerie non può ignorare

27/08/2026 - 27/08/2029

Il 27 agosto 2026 Manchester Airports Group ha comunicato una violazione informatica che ha interessato i dati di circa 8,7 milioni di clienti. Non sono stati compromessi i sistemi che fanno volare gli aerei né quelli legati alla sicurezza aeroportuale. L’accesso non autorizzato ha riguardato invece servizi apparentemente periferici: registrazioni al WiFi, prenotazioni dei parcheggi, lounge e Fast Track.

 

È proprio qui che la vicenda diventa interessante per l’industria alberghiera.

 

Perché è esattamente il perimetro digitale che, in molti hotel, continua a essere considerato accessorio.

 

Le informazioni coinvolte comprendono indirizzi e-mail, numeri di telefono, targhe dei veicoli e codici postali. Per la maggioranza dei soggetti interessati, secondo quanto emerso, il dato esposto sarebbe stato principalmente l’indirizzo e-mail.

 

Manchester Airports Group ha precisato che né il gruppo né il sistema interessato contenevano coordinate bancarie o dati di pagamento e che l’operatività degli aeroporti di Manchester, London Stansted ed East Midlands non è stata compromessa.

 

Come misura precauzionale è stato temporaneamente sospeso l’accesso online al servizio “Manage My Booking”.

 

Pochi giorni prima, in Italia, era stato reso noto l’attacco informatico che ha interessato TeamSystem, con esposizione di informazioni che hanno riportato l’attenzione sul rischio collegato ai processi finanziari aziendali.

 

Ne ho scritto qui: Attacco hacker a TeamSystem: perché la cybersecurity entra nella due diligence e nel valore di un hotel.

 

Sono due episodi differenti che mostrano due facce dello stesso rischio.

 

Il caso TeamSystem richiama l’attenzione sul denaro che esce dall’impresa.

 

Il caso Manchester richiama l’attenzione sui dati che entrano nell’impresa.

 

Per un hotel, le due esposizioni convivono ogni giorno.

 

Il perimetro dimenticato: tutto ciò che non è il PMS

 

Quando si parla di sicurezza informatica alberghiera, l’attenzione tende a concentrarsi sul Property Management System.

 

È comprensibile.

 

Il PMS contiene prenotazioni, anagrafiche degli ospiti, documenti, tariffe, corrispettivi e una parte rilevante della memoria operativa dell’impresa.

 

Ma il caso Manchester mostra qualcosa di più interessante.

 

L’attacco non ha colpito il cuore operativo.

 

Ha colpito la periferia digitale.

 

E un albergo moderno possiede una periferia digitale sorprendentemente estesa:

 

• captive portal del WiFi;

• sistema di check-in online;

• booking engine;

• channel manager;

• CRM;

• piattaforme di e-mail marketing;

• moduli per la prenotazione del parcheggio;

• software per spa e centro benessere;

• sistemi di prenotazione del ristorante;

• piattaforme conference & banqueting;

• software housekeeping;

• app dedicate all’ospite;

• serrature elettroniche e sistemi di accesso;

• piattaforme di raccolta delle recensioni;

• chatbot;

• form di contatto;

• landing page promozionali;

• database delle newsletter;

• sistemi di videosorveglianza;

• integrazioni API tra piattaforme differenti.

 

Questi sistemi vengono spesso acquistati in momenti diversi, da fornitori diversi, per rispondere a esigenze diverse.

 

Possono essere amministrati da reparti differenti e collegati successivamente attraverso integrazioni che nel tempo diventano difficili da ricostruire.

 

Il risultato è che l’hotel può conoscere perfettamente il proprio PMS senza possedere una mappa aggiornata dell’intero ecosistema digitale nel quale circolano i dati dei clienti.

 

E quasi ogni componente di quell’ecosistema tratta informazioni personali.

 

Il rischio informatico non si concentra necessariamente dove si trova il maggiore valore operativo. Spesso emerge dove si concentra la minore attenzione organizzativa.

 

Il captive portal del WiFi non è un servizio di cortesia

 

Uno degli aspetti più interessanti della vicenda riguarda proprio il WiFi.

 

Milioni di informazioni coinvolte nel caso MAG derivano anche dalle registrazioni effettuate dai clienti per accedere alla connessione negli aeroporti.

 

In albergo accade ogni giorno.

 

L’ospite apre il portale.

 

Inserisce nome ed e-mail.

 

Talvolta comunica numero di telefono, data di nascita o altre informazioni.

 

Accetta l’informativa e inizia a navigare.

 

L’operazione dura pochi secondi.

 

Ma nel frattempo l’hotel costruisce, anno dopo anno, un archivio che può diventare enormemente più grande di quanto la proprietà immagini.

 

Può comprendere:

 

• ospiti alloggiati;

• accompagnatori;

• clienti del ristorante;

• partecipanti a meeting ed eventi;

• clienti della spa;

• visitatori;

• fornitori;

• persone che hanno utilizzato esclusivamente gli spazi comuni.

 

A questo punto la domanda non è più soltanto informatica.

 

Diventa manageriale.

 

Dove risiedono fisicamente quei dati?

 

Per quanto tempo vengono conservati?

 

Chi può accedervi?

 

Quali privilegi possiedono gli amministratori del sistema?

 

I dati sono cifrati?

 

Il fornitore è correttamente inquadrato sotto il profilo del trattamento?

 

Cosa prevede il contratto in caso di violazione?

 

Chi deve essere avvisato e in quali tempi?

 

Se nessuno in azienda riesce a rispondere rapidamente, il problema non è soltanto tecnologico.

 

È un problema di governance.

 

Il database ospiti è un asset. Ma ogni asset genera anche un rischio

 

Negli ultimi anni l’industria alberghiera ha correttamente imparato a considerare il database clienti come una risorsa economica.

 

Conoscere il proprio ospite consente di:

 

• ridurre progressivamente la dipendenza dalle OTA;

• aumentare la quota di prenotazioni dirette;

• diminuire il costo di acquisizione;

• sviluppare campagne di remarketing;

• aumentare il repeat business;

• personalizzare l’offerta;

• migliorare il margine per camera venduta.

 

Su Hotel Management Group questo è uno dei temi centrali dell’analisi gestionale: non è sufficiente produrre ricavi; occorre comprendere chi possiede la relazione con il cliente e quanto costa generarla.

 

Ma esiste l’altra faccia della medaglia.

 

Più cresce il database, più aumentano contemporaneamente:

 

• il valore commerciale;

• la superficie di attacco;

• gli obblighi di protezione;

• la complessità di governance;

• la responsabilità potenziale;

• il danno reputazionale conseguente a un incidente.

 

Un database di 200.000 contatti non rappresenta soltanto un’opportunità di marketing.

 

Rappresenta anche una possibile passività latente che non compare in nessun bilancio.

 

Ed è proprio questa asimmetria a renderlo interessante sotto il profilo della valutazione aziendale.

 

L’impresa contabilizza i costi sostenuti per costruire il proprio ecosistema commerciale, ma non espone normalmente in bilancio il rischio economico derivante da un’inadeguata gestione dei dati accumulati.

 

“Hanno preso soltanto le e-mail” è la frase sbagliata

 

Di fronte a una violazione informatica si tende spesso a minimizzare:

 

“Non hanno preso le carte di credito. Soltanto gli indirizzi e-mail.”

 

Ma il valore criminale dell’informazione non dipende esclusivamente dalla sensibilità del singolo dato.

 

Dipende dalla possibilità di combinarlo con altri dati.

 

Immaginiamo un soggetto che conosca:

 

• nome dell’ospite;

• indirizzo e-mail;

• hotel prenotato;

• periodo del soggiorno.

 

Può costruire una comunicazione estremamente credibile:

 

“Gentile ospite, per confermare la Sua prenotazione del 14 settembre è necessario completare il pagamento della caparra attraverso il seguente link.”

 

L’hotel esiste.

 

La prenotazione esiste.

 

La data è corretta.

 

Il messaggio appare plausibile.

 

L’ospite paga.

 

E il giorno dell’arrivo si presenta alla reception convinto di avere già versato quanto richiesto.

 

Il danno economico immediato ricade sul cliente. Il danno reputazionale ricade sull’hotel.

 

Ed è un passaggio decisivo.

 

Non è necessario che siano stati compromessi direttamente i sistemi della struttura.

 

Può essere sufficiente la violazione di:

 

• un fornitore;

• un’agenzia;

• una piattaforma tecnologica;

• un partner commerciale;

• un sistema di marketing;

• un intermediario.

 

La sicurezza dell’impresa alberghiera, quindi, non coincide più con la sicurezza del proprio perimetro informatico.

 

Coincide con la sicurezza dell’intero ecosistema di soggetti ai quali l’impresa affida dati e processi.

 

Il rischio di terza parte sta diventando un rischio strutturale dell’hotellerie

 

La trasformazione digitale dell’hotel ha prodotto un paradosso.

 

Per diventare più efficiente, l’impresa alberghiera utilizza sempre più piattaforme specializzate.

 

Ma ogni nuova piattaforma crea contemporaneamente una nuova relazione tecnologica e, spesso, un nuovo punto potenziale di esposizione.

 

Consideriamo quanti soggetti possono trattare informazioni riconducibili a un hotel:

 

• software house del PMS;

• channel manager;

• booking engine;

• provider WiFi;

• CRM;

• agenzia di marketing;

• piattaforma e-mail;

• società di revenue management;

• provider dei pagamenti;

• studio paghe;

• commercialista;

• società di videosorveglianza;

• manutentore dei sistemi informatici;

• provider delle serrature elettroniche;

• piattaforma per la reputazione online;

• software per ristorante, spa ed eventi.

 

Ciascun rapporto dovrebbe essere osservato anche sotto il profilo della sicurezza e della gestione del dato.

 

La domanda da porre a una proprietà alberghiera diventa quindi molto concreta:

 

quanti contratti con i fornitori tecnologici prevedono espressamente cosa debba accadere in caso di data breach?

 

E ancora:

 

entro quanto tempo il fornitore deve comunicarlo all’hotel?

 

Chi è responsabile dell’escalation?

 

Quali informazioni deve fornire?

 

Quali obblighi di cooperazione sono previsti?

 

Il contratto tecnologico non è più semplicemente un contratto di fornitura.

 

È una componente della gestione del rischio operativo dell’impresa.

 

La velocità di reazione vale quasi quanto la capacità di prevenzione

 

La sequenza comunicata da Manchester Airports Group merita attenzione.

 

Una volta individuato l’incidente, il gruppo ha dichiarato di aver intrapreso misure di contenimento, limitato l’accesso ai sistemi interessati, coinvolto specialisti di cybersecurity e informato le autorità competenti.

 

In via precauzionale è stato anche temporaneamente sospeso il servizio online di gestione delle prenotazioni.

 

La logica è chiara:

 

rilevare → contenere → analizzare → comunicare → documentare.

 

Per un albergo italiano questa capacità di reazione è particolarmente importante.

 

Il GDPR prevede, quando ne ricorrono le condizioni, che la violazione dei dati personali venga notificata all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza.

 

Settantadue ore possono sembrare molte.

 

Durante un incidente informatico diventano pochissime se:

 

• non esiste un responsabile chiaramente individuato;

• il registro dei trattamenti non è aggiornato;

• nessuno conosce la localizzazione dei dati;

• non è disponibile l’elenco dei fornitori coinvolti;

• le credenziali amministrative non sono censite;

• non esiste un referente legale;

• non esiste una procedura interna;

• nessuno ha predisposto uno schema di comunicazione;

• proprietà e management non hanno mai simulato un incidente.

 

Un incident response plan non è quindi un documento burocratico.

 

È uno strumento di governo.

 

Serve a evitare che la prima discussione su cosa fare avvenga nel momento peggiore possibile: quando l’incidente è già in corso.

 

Le sette domande che ogni hotel dovrebbe porsi questa settimana

 

Non serve necessariamente iniziare acquistando nuovi software.

 

Per prima cosa serve capire cosa si possiede.

 

Una proprietà, un general manager e i responsabili delle principali funzioni dovrebbero riuscire a rispondere ad almeno sette domande.

 

1. Quali sistemi, oltre al PMS, contengono dati personali dei nostri ospiti?

 

2. Chi è il fornitore di ciascun sistema e dove vengono conservati i dati?

 

3. Per quanto tempo vengono conservati e chi ha stabilito quel periodo?

 

4. Quanti account con privilegi amministrativi esistono e appartengono tutti a persone ancora autorizzate?

 

5. L’autenticazione multifattore è attiva almeno sui sistemi più critici: PMS, channel manager, posta elettronica, strumenti finanziari e account amministrativi?

 

6. Se domani mattina rilevassimo una violazione, chi dovrebbe essere chiamato nei primi trenta minuti?

 

7. I contratti con i fornitori tecnologici stabiliscono obblighi, responsabilità e tempi di comunicazione in caso di incidente?

 

Le prime tre domande definiscono il perimetro.

 

La quarta e la quinta riguardano il controllo degli accessi.

 

Le ultime due misurano la capacità di reazione.

 

Un’organizzazione che non sa rispondere non è necessariamente già compromessa.

 

Ma è cieca rispetto al proprio rischio.

 

E nella gestione del rischio la vulnerabilità conosciuta può essere corretta.

 

La vulnerabilità che nessuno sa di possedere no.

 

La cybersecurity deve entrare nella due diligence alberghiera

 

È qui che il tema diventa particolarmente rilevante per investitori, banche, fondi, proprietà e advisor.

 

Quando si analizza l’acquisizione di un hotel, la due diligence tradizionale approfondisce:

 

• proprietà immobiliare;

• situazione urbanistica;

• licenze e autorizzazioni;

• contratti;

• personale;

• fiscalità;

• contenzioso;

• ricavi;

• EBITDA;

• posizione finanziaria;

• CapEx;

• conformità tecnica.

 

L’infrastruttura digitale e la governance dei dati rimangono invece frequentemente ai margini dell’analisi.

 

Eppure una società target può trasferire insieme all’hotel:

 

• database di dimensioni non correttamente censite;

• consensi marketing difficilmente documentabili;

• credenziali amministrative appartenenti a ex dipendenti;

• fornitori privi di adeguate clausole contrattuali;

• infrastrutture obsolete;

• accessi non correttamente segregati;

• violazioni pregresse mai identificate;

• procedure di backup inadeguate;

• assenza di incident response plan;

• sistemi che contengono dati senza che il management ne conosca pienamente l’esistenza.

 

Nessuna di queste voci appare necessariamente nell’EBITDA.

 

Ma tutte possono modificare il profilo di rischio economico dell’operazione.

 

Dal cyber-risk al deal risk

 

Questo è probabilmente il passaggio che il mercato alberghiero dovrà iniziare a considerare con maggiore attenzione.

 

La cybersecurity non è soltanto un costo IT.

 

In una transazione può diventare deal risk.

 

Una criticità rilevata durante la due diligence può tradursi in:

 

• richieste di remediation prima del closing;

• dichiarazioni e garanzie specifiche del venditore;

• indemnity dedicate;

• condizioni sospensive;

• escrow;

• holdback sul prezzo;

• coperture assicurative;

• maggiore CapEx tecnologico post-acquisizione;

• maggiore costo percepito del rischio.

 

Nei casi più significativi può incidere direttamente sul prezzo.

 

Il principio è semplice.

 

Due hotel con lo stesso EBITDA e lo stesso valore immobiliare non hanno necessariamente lo stesso valore d’impresa se uno possiede processi, dati e infrastrutture perfettamente governati e l’altro presenta un ecosistema tecnologico opaco.

 

La differenza non è informatica.

 

È economica.

 

Su Investhotel Capital Partners l’analisi delle operazioni di compravendita, trasformazione, ristrutturazione e valorizzazione alberghiera parte da un presupposto fondamentale: il valore di un hotel non coincide con il valore del suo immobile.

 

Dipende anche dalla qualità dell’organizzazione che produce il risultato economico e dalla quantità di rischio necessaria per mantenerlo.

 

Su InvestimentiAlberghieri.it il mercato viene osservato dal lato del capitale, delle transazioni, del rendimento e dei fattori che possono determinare il prezzo effettivamente riconosciuto a un asset.

 

Perché un’impresa più leggibile è un’impresa più valutabile.

 

Un’impresa più valutabile è più facilmente finanziabile.

 

E un’impresa nella quale i rischi sono identificati e governati è, a parità di altre condizioni, un’impresa di qualità superiore.

 

La cybersecurity entra anche nel credito

 

Lo stesso principio vale per chi finanzia.

 

Una banca analizza principalmente capacità di rimborso, patrimonio, cash flow, garanzie e sostenibilità finanziaria.

 

Ma la qualità del cash flow dipende dalla continuità operativa.

 

E oggi la continuità operativa dipende anche dalla tecnologia.

 

Un incidente informatico può generare:

 

• interruzione delle vendite dirette;

• impossibilità di accedere ai sistemi;

• blocco delle comunicazioni;

• costi straordinari;

• richieste di risarcimento;

• perdita di clientela;

• danni reputazionali;

• interventi urgenti sull’infrastruttura.

 

Il cyber-risk diventa quindi, indirettamente, anche rischio di credito.

 

Non perché una banca debba trasformarsi in una società di cybersecurity.

 

Ma perché chi finanzia un’impresa dovrebbe comprendere quali fattori possono comprometterne la capacità di continuare a produrre cassa.

 

La conclusione

 

Manchester Airports Group non è stato colpito nei sistemi che fanno decollare gli aerei.

 

L’incidente ha riguardato sistemi collegati a parcheggi, lounge, Fast Track e connessioni WiFi.

 

Per l’hotellerie la traduzione è immediata.

 

Il rischio può manifestarsi non dove l’impresa ha concentrato l’investimento in sicurezza, ma proprio dove nessuno aveva pensato che fosse necessario farlo.

 

Un hotel raccoglie dati per definizione.

 

Nome.

Documento.

E-mail.

Telefono.

Date di soggiorno.

Preferenze.

Abitudini di consumo.

Mezzo di trasporto.

Accompagnatori.

Informazioni commerciali.

Interazioni digitali.

Non esiste hotellerie moderna senza dati.

 

Ma esiste una differenza fondamentale tra un’impresa che quei dati semplicemente possiede e un’impresa che quei dati governa.

 

La prima possiede un archivio.

 

La seconda possiede un asset.

 

E nel mercato alberghiero dei prossimi anni questa differenza potrà incidere sempre di più non soltanto sulla sicurezza.

 

Ma anche sulla qualità dell’impresa, sulla due diligence, sulla finanziabilità e, in ultima analisi, sul suo valore.

---

 

Per due diligence, analisi organizzativa, controllo di gestione, governance e valorizzazione di strutture ricettive:

 

r.necci@robertonecci.it

 

Approfondimenti:

 

Roberto Necci – Consulenza e management alberghiero

 

Investhotel Capital Partners – Operazioni, acquisizioni e valorizzazione alberghiera

 

InvestimentiAlberghieri.it – Investimenti, finanza e mercato hospitality

 

Hotel Management Group – Gestione, controllo e advisory alberghiero

 

Articolo collegato:

 

Attacco hacker a TeamSystem: perché la cybersecurity entra nella due diligence e nel valore di un hotel

---

 

Maggiori informazioni, sulle nostre attività consulenziali sono disponibili sul sito www.neccihotels.it , relativamente alla finanza di impresa ed all'assistenza in situazioni speciali www.investhotel.it