Si tienes una reserva activa en Booking, esto te interesa aunque nunca hayas hecho clic en un enlace sospechoso. El pasado 13 de abril, la plataforma reconoció que terceros no autorizados accedieron a datos personales de reservas —nombres, correos, teléfonos y detalles del alojamiento— y esa información ya se está usando para construir correos de phishing casi perfectos.
No es una alerta genérica ni un correo mal escrito con faltas de ortografía. Los estafadores ahora saben tu nombre real, las fechas exactas de tu viaje y el hotel donde te alojas. Con esos datos, cualquier mensaje que reciban parece legítimo, y ese es precisamente el problema que ha encendido las alarmas del sector.
Qué pasó exactamente con Booking
El origen del problema no está en la app de Booking en sí, sino en sus socios hoteleros. Los ciberdelincuentes comprometieron sistemas de gestión de pequeños alojamientos mediante una técnica llamada ClickFix, que engaña a empleados del hotel para que instalen malware disfrazado de solución técnica. Desde ahí, accedieron a los datos de reservas de miles de huéspedes.
Booking ha insistido en que los datos financieros y contraseñas no se vieron comprometidos en su propio sistema. Pero eso no ha frenado a los estafadores: con nombre, correo, teléfono y detalles de la reserva es más que suficiente para lanzar un ataque muy convincente contra cada viajero afectado.
El correo que ya ha vaciado cuentas bancarias en España
El patrón que más preocupa a los expertos combina la filtración con una técnica de ingeniería social muy pulida. Booking recibe suplantaciones que llegan con asuntos como «Confirm your reservation» y un botón que invita a «verificar datos de pago». El phishing no es un fenómeno nuevo, pero la combinación con datos reales robados lo hace mucho más peligroso que antes.
El enlace de esos correos lleva a una página clonada del portal oficial, donde se piden usuario, contraseña y datos bancarios completos. En un caso documentado en Madrid, una familia perdió 3.800 euros después de introducir sus datos en uno de estos portales falsos, con transferencias que salieron de España en minutos y resultaron prácticamente imposibles de recuperar.
Las señales que delatan el engaño
La buena noticia es que estos correos, por sofisticados que sean, casi siempre dejan alguna pista. La dirección del remitente rara vez coincide exactamente con un dominio de Booking, aunque a simple vista lo parezca. Fíjate siempre en lo que hay después de la @, no solo en el nombre que aparece delante.
Otra señal clásica es la urgencia artificial: mensajes que dan un plazo de pocas horas para «confirmar» o «verificar» algo, generando ansiedad para que actúes sin pensar. Ninguna plataforma seria te presiona así, y menos aún te pide datos bancarios completos por correo electrónico.
Qué hacer si te llega uno de estos correos
Lo primero es no tocar nada del mensaje. No hagas clic en ningún enlace ni descargues archivos adjuntos, por muy oficial que parezca el diseño. Accede siempre a tu cuenta escribiendo tú mismo booking.com en el navegador, nunca desde el correo recibido.
Si tienes dudas sobre una reserva concreta, contacta con el servicio oficial de atención al cliente de Booking a través de la web legítima. Estas son las señales de alarma más frecuentes que conviene memorizar:
- Dominios de correo que no terminan exactamente en booking.com
- Solicitudes de datos bancarios completos, algo que Booking nunca pide por email
- Plazos de respuesta de pocas horas que buscan generar pánico
- Botones con textos como «verificar pago ahora» en lugar de accesos normales a tu cuenta
Si ya has hecho clic en el enlace
Actuar rápido marca la diferencia entre un susto y un problema serio. Lo primero es cambiar de inmediato todas las contraseñas de servicios bancarios o de pago que hayas podido introducir, y activar la autenticación de dos factores donde sea posible.
Después, llama a tu banco para revisar movimientos recientes y valorar el bloqueo temporal de tarjetas comprometidas. Presenta también denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, aunque el importe parezca pequeño: cada denuncia ayuda a las autoridades a rastrear patrones y cerrar páginas fraudulentas antes de que afecten a más personas.
Lo que viene: más filtraciones, pero también más blindaje
El panorama no es alentador a corto plazo. El sector turístico maneja enormes volúmenes de datos personales y sigue siendo un objetivo prioritario para los ciberdelincuentes, así que es razonable esperar más incidentes similares en los próximos meses, no solo en Booking sino en otras plataformas de viajes.
La parte positiva es que la respuesta también está mejorando. Booking ha reforzado sus sistemas de detección de accesos sospechosos, y cada vez más usuarios saben identificar estas señales de alarma. El mejor blindaje sigue siendo el mismo de siempre: desconfiar de la urgencia y verificar cualquier comunicación accediendo directamente a la web oficial, nunca a través de un enlace recibido por correo.
