Tu reserva vale más que tu tarjeta: por qué los ciberdelincuentes van tras los datos de viaje

Booking.com, BCD Travel y Manchester Airports Group sufrieron filtraciones en 2026 que no expusieron números de tarjeta. Los datos que sí se llevaron, como nombre, teléfono, fechas y matrícula, alcanzan para armar estafas casi imposibles de distinguir de un mensaje real.

Durante años, el objetivo de los hackers en el turismo fue simple: el número de la tarjeta de crédito. Ese panorama cambió. Los incidentes de este año en grandes empresas del sector muestran que los detalles cotidianos de un viaje se volvieron la materia prima de estafas personalizadas, phishing y extorsiones creíbles. Una tarjeta se bloquea con una llamada al banco. Una reserva con nombre, hotel, fechas y teléfono le da al delincuente el contexto para ganarse la confianza de la víctima.

Por qué una reserva vale más que una tarjeta

Un correo electrónico, un teléfono o los datos de una estadía parecen información inofensiva. En manos criminales permiten suplantar a un hotel, una aerolínea o una plataforma y enviar mensajes que imitan las comunicaciones legítimas. El viajero ve su nombre, sus fechas y el alojamiento que realmente reservó. El empleado de una agencia recibe un aviso que encaja con su trabajo diario. En ambos casos la trampa es difícil de detectar a simple vista.

Tres casos que marcaron 2026

Booking.com, abril

El 13 de abril de 2026 Booking.com confirmó un ciberataque que comprometió datos personales de clientes en todo el mundo, con nombres, correos, teléfonos y detalles de reservas. La empresa aseguró que no se filtraron datos bancarios ni contraseñas, forzó la renovación de los PIN de reserva, avisó a los usuarios y reportó el incidente a la autoridad neerlandesa de protección de datos. Sin embargo, no reveló cuántos usuarios resultaron afectados ni cuánto tiempo estuvieron expuestos los datos.

BCD Travel, mayo

BCD Travel, empresa de gestión de viajes corporativos, fue señalada en mayo como víctima de la campaña de extorsión “pagar o filtrar” del grupo ShinyHunters, y los datos se publicaron a principios de junio con unas 396.000 direcciones de correo únicas, además de nombres, teléfonos, cargos y empleadores. El grupo afirmó haber llegado a una base de clientes en Salesforce y a sitios internos de SharePoint, y fijó el 1 de junio como plazo de pago. La compañía dijo haber detectado actividad sospechosa en una cuenta interna. Los 700.000 registros son una cifra que sostienen los atacantes, no una verificación independiente.

Manchester Airports Group (MAG) supo del incidente el 25 de agosto de 2026. Un tercero no autorizado accedió a información ligada a reservas de estacionamiento, salas VIP y Fast Track, además de registros de Wi-Fi en los aeropuertos. Entre los datos comprometidos hay correos, teléfonos, códigos postales y matrículas de vehículos. La empresa aclaró que no tenía información bancaria en el sistema afectado. Las operaciones aeroportuarias no se vieron afectadas. Se habla de unos 8,7 millones de clientes.

Los especialistas advirtieron que los delincuentes podrían crear avisos de estacionamiento falsos o comunicaciones de viaje con suficiente información real como para parecer auténticos. Según los informes consultados, ese uso es un riesgo señalado por los expertos y no una campaña confirmada.

El secuestro de reservas: cómo funciona

La modalidad más extendida se conoce como secuestro de reservas. Los atacantes usan datos reales para contactar al cliente haciéndose pasar por el hotel o la plataforma y piden pagos urgentes o verificaciones falsas. Una vía de entrada frecuente es el alojamiento. Los delincuentes no atacan de frente a la plataforma. Roban con phishing las credenciales de la extranet del hotel, el panel donde figuran las reservas activas con nombres, contactos, fechas e importes.

El fraude llega después por WhatsApp. El Centro Nacional de Ciberseguridad de Suiza alertó en junio de 2026 sobre un aumento de mensajes por WhatsApp con datos de estadías reales. En muchos casos ofrecían un supuesto reembolso y se basaban en información de la filtración de Booking de abril.

En correos que imitan situaciones habituales de la bandeja de reservas: cancelaciones, facturas o pedidos de accesibilidad. La segunda imita notificaciones de Booking.com y lleva a un CAPTCHA falso que pide al empleado pulsar Windows + R y pegar un contenido para ejecutarlo.

La cadena de suministro digital: el eslabón débil

Aerolíneas, hoteles, agencias online y proveedores tecnológicos intercambian información de forma constante. Cada uno de esos vínculos es una puerta. Un caso relatado por Hosteltur lo ilustra: un hotel vio su sitio web modificado para desviar tráfico a páginas de pago controladas por delincuentes, y la investigación mostró que la empresa de diseño web había sufrido el robo de su repositorio de usuarios y contraseñas.

El error humano pesa más que la tecnología. El informe DBIR 2024 de Verizon indica que el 68% de las vulneraciones involucró un elemento humano no intencionado, como configuraciones mal hechas, credenciales robadas o ingeniería social.

El caso de MAG lo confirma. Un análisis técnico independiente sostiene que los atacantes afirmaron no haber hackeado nada, sino leído una clave de API en el código JavaScript de la web, y que el investigador halló tres claves, una por aeropuerto, sin rotar durante más de cuatro años. Es un dato de un solo análisis, pero coincide con la tesis del sector: los ataques rara vez son infiltraciones sofisticadas.

La inteligencia artificial acelera el engaño

La IA sirve a ambos lados. Las defensas la usan para detectar anomalías. Los grupos criminales la emplean para redactar mensajes masivos, sin errores y en varios idiomas, lo que elimina la barrera lingüística de antes.

Los números muestran la escala. Check Point Research informó que los ataques contra organizaciones turísticas promediaron 2.291 incidentes semanales por empresa en mayo de 2026, un 24% más que un año antes y más del doble que en mayo de 2023. Una encuesta de McAfee de marzo de 2026 halló que el 38% de los adultos consultados había enfrentado alguna estafa relacionada con viajes, y que el 41% de quienes tuvieron contacto con una perdió dinero.

En la Argentina, un estudio de Airbnb e Ipsos reveló que 7 de cada 10 argentinos no pudieron distinguir imágenes de alojamientos creadas con inteligencia artificial de fotos reales. Además, la mitad aceptaría pagar por transferencia bancaria si obtuviera un descuento. Esa transferencia carece de mecanismos de protección ante un fraude.

Qué pueden hacer las empresas

Los especialistas coinciden en que la defensa depende más de la disciplina que de herramientas costosas. Las medidas que más se repiten son:

• Autenticación multifactor en todos los accesos, sobre todo en extranets, channel managers y correo.
• Monitoreo continuo de accesos y rotación periódica de claves de API y contraseñas de administración.
• Principios de confianza cero aplicados a toda la red de proveedores externos.
• Capacitación del personal, con ejemplos actuales como el falso CAPTCHA que pide ejecutar comandos.
• Un canal de comunicación con el huésped definido y comunicado, para que el cliente sepa cómo y por dónde le van a pedir un pago. Algunos grupos hoteleros ya evalúan dejar de enviar solicitudes de pago por WhatsApp.

Qué puede hacer el viajero

La regla principal es la verificación por otro canal. Si un mensaje pide confirmar la tarjeta, hay que ignorar los enlaces y teléfonos que trae, buscar el contacto oficial del hotel en su web, en la aplicación de la plataforma o en el correo de confirmación, y llamar a recepción.

• No pagar fuera de la plataforma. Una transferencia o un pago con tarjeta pedido por correo o WhatsApp es una señal de fraude, y la urgencia del tipo “pagá ya o perdés la reserva” es una señal clásica.
• Revisar los movimientos bancarios y reclamar cualquier cargo desconocido de inmediato.
• Cambiar y no reutilizar contraseñas, y activar la verificación en dos pasos.

Qué queda para el sector

Mientras cambien las brechas y las víctimas, la conclusión de los expertos es la misma: en un sector que vive de la confianza del viajero, la protección de los datos personales es una condición del negocio y no un costo administrativo. Las empresas que la traten así serán las que mantengan clientes cuando el próximo incidente aparezca en los titulares.