Protezione e sicurezza dei dati personali

NOTIFICA DI VIOLAZIONE DEI DATI PERSONALI

Sistema di gestione delle prenotazioni del responsabile del trattamento Phobs d.o.o. – data di conoscenza: 4 giugno 2026

In seguito alle comunicazioni che i nostri ospiti hanno già ricevuto, desideriamo con la presente fornire ulteriori informazioni e informare in modo trasparente tutte le parti interessate in merito all’evento in questione, come segue:

NATURA DELLA VIOLAZIONE DEI DATI PERSONALI

Quando?

Le prime segnalazioni da parte di ospiti che avevano prenotato un alloggio presso le strutture Valamar sono pervenute la mattina del 4 giugno 2026, quando il personale del Centro prenotazioni Valamar (VRC), durante l’elaborazione della corrispondenza ricevuta, ha registrato richieste e messaggi degli ospiti relativi all’evento in questione. Tale momento rappresenta altresì il momento in cui Valamar è venuta per la prima volta a conoscenza di un possibile incidente di sicurezza, a seguito del quale si è verificata anche una violazione dei dati personali. Nel corso della stessa giornata Valamar ha ricevuto ulteriori informazioni sull’incidente, dapprima in forma orale e successivamente per iscritto, dalla società PHOBS d.o.o. za informatičke usluge, con sede a Dubrovnik, Vukovarska 19, OIB: 09221756952 (di seguito: Phobs).

Come?

Nello specifico, Valamar Riviera, in qualità di titolare del trattamento dei dati personali delle persone che hanno effettuato una prenotazione di alloggio presso le strutture Valamar, utilizza il sistema di gestione delle prenotazioni del responsabile del trattamento Phobs, sulla base di un contratto di collaborazione commerciale e di un contratto sul trattamento dei dati personali. Il responsabile del trattamento fornisce il proprio servizio a numerosi titolari del trattamento (operatori alberghieri) e gestisce nel sistema le prenotazioni di più titolari del trattamento indipendenti.

Secondo la comunicazione di Phobs, l’incidente è stato causato dalla compromissione di credenziali utente (di un singolo account utente non appartenente a Valamar) e dall’uso improprio e malevolo di una funzionalità esistente del sistema informatico di Phobs, allo scopo di sottrarre i dati relativi alle prenotazioni.

Quali ospiti?

Al momento non è possibile determinare quali prenotazioni specifiche siano state interessate dall’incidente e, di conseguenza, non è noto a quali ospiti né a quali dati esso si riferisca. Considerato il contenuto dei messaggi ricevuti, possiamo soltanto presumere che si tratti di ospiti che hanno effettuato prenotazioni di alloggio presso le strutture Valamar nel corso di quest’anno.

Quali dati?

Da Phobs abbiamo ricevuto informazioni sulle categorie di dati che potrebbero essere state potenzialmente coinvolte nell’incidente:

• dati identificativi e di contatto dell’intestatario della prenotazione e degli ospiti (nome e cognome, indirizzo, codice postale, città, Paese, indirizzo e-mail, numero di telefono e numero di cellulare);
• dati relativi alla prenotazione e all’alloggio (codice e fonte della prenotazione, struttura, date di arrivo e partenza, numero di pernottamenti, tipologia di trattamento, richieste particolari, numero di adulti e bambini e nominativi degli ospiti indicati nella prenotazione);
• dati finanziari relativi alla prenotazione (valuta, sconti, costi aggiuntivi e importo complessivo);
• dati relativi alle transazioni e alcuni dati associati alle carte di pagamento.

I dati relativi alle carte di pagamento comprendono la tipologia di carta, le ultime quattro cifre del numero della carta, la data di scadenza e il nome del titolare. Il numero completo della carta (PAN) e il codice di sicurezza (CVV) non sono stati compromessi.

È importante sottolineare che, sulla base delle informazioni attualmente disponibili, non sussiste un rischio diretto di utilizzo fraudolento della carta di pagamento derivante dai dati esposti. Proprio perché i malintenzionati non hanno avuto accesso ai dati completi delle carte di pagamento, tentano di ottenerli mediante messaggi fraudolenti (cosiddetto smishing/phishing), inducendo gli ospiti ad accedere ad un link fraudolento e successivamente ad inserire i dati completi della carta di pagamento.

PROBABILI CONSEGUENZE DELLA VIOLAZIONE DEI DATI PERSONALI

Le probabili conseguenze consistono nella possibilità di ricevere messaggi fraudolenti (cosiddetto smishing/phishing) che, a prima vista, possono apparire credibili e aumentare il rischio di frode. Inoltre, non è possibile escludere completamente il rischio di un utilizzo non autorizzato dei dati personali, che potrebbe non essere necessariamente riconducibile in modo diretto all’incidente iniziale.

MISURE ADOTTATE O DI CUI SI PROPONE L’ADOZIONE DA PARTE DEL TITOLARE DEL TRATTAMENTO PER PORRE RIMEDIO ALLA VIOLAZIONE DEI DATI PERSONALI, COMPRESE, SE DEL CASO, LE MISURE PER ATTENUARNE I POSSIBILI EFFETTI NEGATIVI.

Valamar ha adottato una serie di misure volte a ridurre i rischi e a tutelare gli ospiti. Oltre a fornire risposte individuali alle richieste ricevute, sono stati inviati avvisi e informazioni agli ospiti le cui prenotazioni potrebbero essere state coinvolte nell’incidente, con l’obiettivo di prevenire e ridurre il rischio di cadere vittima di messaggi fraudolenti.

Il nostro reparto IT interno, in collaborazione con i partner IT esterni, sta effettuando ulteriori verifiche e analisi dell’infrastruttura informatica. Ad oggi non sono state riscontrate anomalie né elementi che indichino una compromissione dei sistemi interni di Valamar. Parallelamente, Valamar mantiene un contatto costante con il responsabile del trattamento e monitora le misure che quest’ultimo sta adottando.

Secondo le informazioni ricevute, il responsabile del trattamento ha adottato misure immediate non appena è stato accertato l’incidente, al fine di prevenire ulteriori accessi non autorizzati. Tali misure hanno incluso l’identificazione dell’account utente compromesso, il ripristino delle credenziali di accesso, il blocco degli indirizzi IP dai quali provenivano le richieste fraudolente e la disattivazione della funzionalità di esportazione dei dati. Sono state inoltre implementate ulteriori misure tecniche di protezione, tra cui la limitazione della frequenza delle richieste (rate limiting) sugli script interessati e l’introduzione di ulteriori meccanismi di autenticazione. Parallelamente, è in corso un’analisi approfondita dei sistemi per determinare l’effettiva portata dell’incidente, con il coinvolgimento di esperti esterni in materia di sicurezza informatica.