Hay dos cosas que nunca fallan cada verano: las altas temperaturas y el aumento en ciberataques. Hornetsecurity, empresa especializada en ciberseguridad, acaba de publicar una alerta que debería leer cualquier persona que haya reservado -o vaya a hacerlo- un hotel, un vuelo o un coche de alquiler en los últimos meses: las campañas de phishing -suplantación de identidad- dirigidas al sector turístico se han disparado con la llegada del calor, y están más elaboradas que nunca.
Solo en una semana, la plataforma de reserva de viajes detectó más de 45.000 correos maliciosos que aparentaban venir de Booking.com. Ya no se trata de emails genéricos llenos de erratas y logos pixelados -esos ya son fácilmente identificables-. Son correos cuidados, con lenguaje tranquilizador y marca reconocible, diseñados específicamente para que bajes la guardia, lo que se conoce como ‘ingeniería social’.
Y no es un fenómeno aislado. CheckPoint -empresa israelí de ciberseguridad- también ha alertado de que solo en mayo se detectó el alta de casi medio millar de nuevas páginas web relacionadas con empresas turísticas… pero catalogadas como maliciosas o bajo sospecha. Los atacantes, según la propia firma, no improvisan: diseñan campañas estacionales con la misma planificación que cualquier empresa del sector, aprovechando los picos de demanda y las prisas por reservar.
Así funciona la trampa, paso a paso
El ataque típico empieza enviando a la victima un mensaje de cancelación de reserva. Urgente, claro. Con un tono que invita a actuar rápido. El correo, incluso, te pide que compruebes que la URL es legítima, un detalle que suena paradójico pero que a los ciberdelincuentes les funciona: al decirte que verifiques, te hace bajar la guardia porque asumes que una estafa no te diría eso.
Si haces clic, te dirigirán a una página con un CAPTCHA -esas pantallas donde seleccionas semáforos o bicicletas que son un engorro, pero que asociamos con webs serias y seguras-. Una vez superado, el sistema te pide que copies y pegues un comando en tu ordenador. Y aquí está el truco: al ejecutarlo, el atacante obtiene acceso remoto completo a tu dispositivo. Con todo lo que eso implica.
Riesgos y consejos…
Booking.com ha recomendado recientemente a sus clientes mantenerse alerta ante posibles ataques de phishing -suplantación de identidad- no es para menos: en abril de 2026 la plataforma sufrió un ciberataque que podría haber permitido acceso no autorizado a datos de sus clientes. Eso significa que los atacantes pueden tener en su poder información de reservas reales, nombres, fechas de estancia… todo lo necesario para que un correo falso suene completamente auténtico.
Más allá de la tecnología, la primera línea de defensa sigue siendo el sentido común. Nunca copies y pegues comandos desde una página web, por muy oficial que parezca. Recuerda que un CAPTCHA no es garantía de que un sitio sea seguro -los malos también saben elaborar e implementar CAPTCHA en sus sitios webs-. Si recibes un aviso de cancelación, entra directamente en la app o web oficial de la plataforma, no desde el enlace del correo. Y si usas los servicios de Booking en nombre de una empresa, traslada cualquier sospecha al equipo de informática antes de hacer nada.
El error humano sigue siendo un factor presente en el 74% de los incidentes de seguridad, lo que significa que por muy buena que sea la tecnología de protección, la formación de las personas sigue siendo igual de importante. Este verano, antes de hacer clic en ese email de cancelación, piensa por unos segundos y verifica por tu cuenta. Que las vacaciones las estropee el calor sofocante, no un cracker.
