El fraude en reservaciones empieza en la computadora de recepción

01Qué pasó

En abril de 2026, Booking.com empezó a avisar a sus clientes que «terceros no autorizados» habían entrado a datos de sus reservaciones: nombres, correos, teléfonos, direcciones y detalles de la estancia. La empresa no dijo a cuántas personas afectó.

Según Malwarebytes, lo más probable es que los delincuentes no hayan entrado por Booking.com, sino por las cuentas de los hoteles: alguien en el hotel abrió un correo falso y, sin saberlo, les dio acceso a su computadora.

La técnica ya es conocida. Los investigadores de Sekoia documentaron una campaña así en 2025, activa por lo menos de abril a octubre y con cientos de sitios falsos:

• Llega a recepción un correo que parece de Booking.com, sobre un huésped o una reseña.
• El enlace lleva a una falsa verificación de «no soy un robot» que pide copiar y pegar un comando en la computadora.
• Ese comando instala un programa que roba contraseñas y deja una puerta abierta para los atacantes.

Con la cuenta del hotel en sus manos, los delincuentes les escriben a los huéspedes por WhatsApp o por correo, con los datos reales de su reservación, y les piden «volver a verificar» su tarjeta en una página falsa.

02Por qué te importa en México

Para un hotel, el golpe es doble: pierdes el control de tu cuenta y, además, tus huéspedes reciben el fraude con tu nombre. Para ellos, quien les robó fue el hotel.

Y en México no es un riesgo lejano. Según la Asociación de Internet MX y Cdetech, el 50.4% de los ciberataques registrados en México en 2023 fueron contra el sector hotelero. En marzo de 2025, el ataque de ransomware a Haven Resorts, en Cancún, expuso más de 24,000 reservaciones, con datos de huéspedes y de empleados.

La mayoría de estos ataques no empieza con un hacker experto. Empieza con un correo bien hecho, una persona con prisa en recepción y una cuenta sin verificación en dos pasos.

03Qué hacer esta semana

1. Nunca entres a tu cuenta de Booking desde un correoNi a Booking.com ni a ninguna otra agencia en línea: escribe la dirección tú mismo o usa un favorito guardado. Y si una página te pide copiar y pegar algo en la computadora para «verificarte», ciérrala: ninguna plataforma seria te lo pide.
2. Activa la verificación en dos pasos en tu cuenta de Booking y en el correoSi alguien roba la contraseña, todavía le falta tu teléfono. Es de lo más sencillo de activar y de lo que más protege.
3. Avisa a tus huéspedes antes de que les escriba otroAgrega una línea a tu confirmación de reservación: «Nunca te pediremos los datos de tu tarjeta por mensaje, WhatsApp ni correo. Si alguien te los pide, llámanos al teléfono del hotel». Así, si un huésped recibe ese mensaje, sabrá que no eres tú.