Filtración en Booking: los ciberdelincuentes ya saben dónde te hospedas (y cómo lo usan en tu contra)

Booking.com confirmó el acceso no autorizado a datos de usuarios que posteriormente fueron utilizados por ciberdelincuentes para realizar intentos de fraude mediante alertas de seguridad falsas.

El incidente se hizo público después de que clientes recibieran correos electrónicos oficiales de alerta enviados por la plataforma durante el fin de semana, en los que se informaba sobre la filtración y se indicaba que, entre las medidas de emergencia, se encontraba la redefinición de los PIN de las reservas.

MIRA: El millonario que vive en cruceros desde hace más de 25 años y ya no puede caminar en línea recta en tierra

Si bien Booking.com está notificando directamente por correo electrónico a los usuarios afectados, la compañía de ciberseguridad ESE ha advertido que los delincuentes podrían hacerse pasar por la empresa o por socios hoteleros, utilizando datos reales de reservas para llevar adelante estafas y recomendaciones para protegerse.

Alcance del incidente: ¿Qué dice Booking?

Aunque Booking.com emitió un comunicado oficial al portal BleepingComputer, en el que aclaró que no hubo evidencia de una intrusión directa en sus sistemas centrales, se confirmó que terceros lograron acceder a información de reservas de algunos usuarios. Como medida de emergencia, la compañía forzó la redefinición de todos los códigos PIN de las reservas afectadas, con el objetivo de impedir cualquier manipulación posterior.

“Recientemente detectamos actividad sospechosa que involucró a terceros no autorizados que lograron acceder a la información de reservas de algunos de nuestros clientes. Tan pronto como identificamos esta actividad, tomamos medidas para contener el problema. Actualizamos los PIN de esas reservas e informamos a nuestros huéspedes”, mencionó Sage Hunter, responsable del área de comunicaciones de Booking.com, en su comunicado oficial.

La empresa no ha revelado la cifra total de usuarios afectados, aunque ha asegurado que todos serán notificados de forma individual. Además, destacó que mantiene atención al cliente en varios idiomas, disponible las 24 horas, para orientar a los usuarios frente a posibles intentos de fraude en curso.

Los datos financieros no fueron comprometidos, pero eso no elimina el riesgo, destacan los especialistas de ESET. Los atacantes pueden construir mensajes altamente convincentes. Saben tu nombre, a qué hotel vas y cuándo llegas. Hay usuarios reportando mensajes por WhatsApp y correo que parecen legítimos porque usan sus datos reales, esto se llama phishing de seguimiento, y es mucho más difícil de detectar que un mensaje genérico, explican.

No es un fenómeno aislado. Según el ESET Security Report 2025, el 27% de las organizaciones en América Latina sufrió un ciberataque en el último año, y el 22% fue víctima de ransomware. Menos de la mitad utiliza cifrado de datos o clasifica su información sensible.

Testimonios de usuarios

Varios usuarios recurrieron a foros como Reddit para documentar la recepción de mensajes sospechosos enviados por correo electrónico y WhatsApp. Los testimonios indican que los estafadores tuvieron acceso a información privada, como nombres completos y detalles específicos de las estadías, y utilizaron esos datos para dar credibilidad a solicitudes urgentes de pago.

Cómo protegerte tras el incidente

Especialistas de ESET señalan que los ciberdelincuentes pueden usar los datos reales para construir mensajes falsos es una táctica común de la ingeniería social, cuyo objetivo es aprovechar la confianza del usuario para obtener un beneficio económico. Ante este tipo de incidentes, los usuarios deben no solo estar alertas a los correos electrónicos, sino también ante contactos por WhatsApp y mensajes enviados dentro del chat de la plataforma.

Recomendaciones adicionales para evitar fraudes

ESET comparte algunas recomendaciones de seguridad para mitigar los riesgos derivados de esta filtración, y sugiere que se realicen de forma inmediata.

• Cambio de contraseñas: Es fundamental actualizar la contraseña de acceso a la plataforma. Si esa misma contraseña se utiliza en otros servicios, también se recomienda cambiarla.
• Activación de la autenticación en dos factores (MFA): La verificación en dos pasos es una de las barreras más eficaces. Con MFA activado, incluso si un atacante obtiene la contraseña, no podrá acceder sin el código adicional.
• Desconfiar de la urgencia: Los estafadores suelen amenazar con cancelaciones inmediatas (en 4 o 12 horas) para forzar decisiones rápidas. Ante cualquier ultimátum de pago por una reserva ya confirmada, conviene sospechar.
• Cuidado con enlaces externos: Las empresas no suelen solicitar datos de tarjetas ni pagos a través de enlaces enviados por chat o email. Cualquier gestión financiera debe realizarse únicamente desde la sección “Mis reservas” del sitio o la app oficial.
• Atención con WhatsApp: Aunque es común que los hoteles contacten por WhatsApp para coordinar horarios de check-in, esta no es una vía segura para transacciones. Nunca compartas datos sensibles ni códigos recibidos por SMS.
• Verificación por canales independientes: Ante dudas sobre un cobro, es recomendable contactar directamente al alojamiento usando un número obtenido del sitio web oficial del hotel o de Google Maps, y no los datos incluidos en el mensaje sospechoso.