Blog

Los fraudes con webs falsas de Booking y Airbnb y el phishing por WhatsApp se disparan este verano

Hosteltur. La compañía de seguridad Check Point Software advierte sobre la multiplicación de dominios fraudulentos vinculados al sector turístico.

Con la llegada del verano, el cibercrimen despliega todos sus recursos y se multiplican los sitios falsos que imitan las webs de conocidas marcas como Booking, Airbnb o Skyscanner, advierte la compañía de seguridad Check Point Software Technologies Ltd. Según datos facilitados por esta firma, solo durante el pasado mes de mayo se detectó el alta de casi medio millar de nuevas páginas web, supuestamente vinculadas a empresas turísticas, que han sido catalogadas como maliciosas o bajo sospecha.

“Observamos un patrón claro de industrialización del fraude digital en el sector turístico. Los atacantes no improvisan: diseñan campañas estacionales con la misma planificación que cualquier gran empresa del sector, aprovechando los picos de demanda y la presión por reservar rápido”, afirma Rafa López, ingeniero de seguridad de Check Point Software en España.

De este modo, “el despliegue logístico de los atacantes para preparar la temporada de verano es abrumador”. Solo durante el pasado mes de mayo, se detectó el alta de 47.318 nuevas páginas web vinculadas al sector turístico, cifra que supera en un 33% los registros de abril y en un 19% los del mismo periodo del año anterior. Ahora bien, “uno de cada 112 de estos dominios se ha catalogado como malicioso o bajo sospecha, mientras que una gran parte permanece inactiva, en una especie de hibernación, preparada para atacar cuando lleguen las semanas de mayor demanda vacacional”.

Por ejemplo, la división de seguimiento de amenazas de Check Point Software ha detectado “tres grandes campañas coordinadas de registro masivo de dominios” que afectan a tres conocidas marcas.

• Booking.com: Se ha detectado el clon bookingni[.]com diseñado para capturar datos de inicio de sesión y tarjetas. Además, la campaña con los dominios booking-cn[.]com y booking-hk[.]com ofrece versiones localizadas para el público de habla china con precios en yuanes y falsos carteles de rebajas de mitad de año. Este mismo actor opera también booking-jp[.]com y booking-zh[.]com.

• Airbnb: El dominio airbnb-ca[.]com se dirige específicamente a los viajeros que planean visitar Canadá. Muestran fotos de las Rocosas Canadienses y listados falsos de alojamientos en Montreal, Toronto y Vancouver.

• Skyscanner: Páginas como skyscanners[.]shop y skyscanners[.]life promocionan ofertas de hoteles inexistentes con tarifas de preventa en complejos turísticos de Malasia para recaudar depósitos que nunca se convierten en reservas reales.

“Juegan con la urgencia por reservar”

Según explican desde la empresa de seguridad, la “estrategia favorita” de los estafadores online es manipular las emociones del consumidor: “juegan con la urgencia por reservar y la obsesión por encontrar el precio más bajo para que el usuario baje la guardia y haga clic donde no debe”.

Por dicho motivo, desde esta empresa recomiendan lo siguiente:

• Escribir, no hacer clic: introducir siempre la URL directamente en la barra de direcciones del navegador en lugar de hacer clic en enlaces procedentes de correos electrónicos o anuncios.

• Prestar atención al dominio: revisar minuciosamente la dirección web antes de introducir datos de acceso o de pago. “Una sola letra puede marcar la diferencia y confundir al usuario”.

• Pagar con tarjeta de crédito: utilizar tarjetas de crédito en lugar de débito para las reservas online, “ya que ofrecen mayores coberturas contra el fraude y sistemas de disputa de cargos más ágiles”.

• Doble protección: activar la autenticación de doble factor (2FA) en todas las cuentas de plataformas de viaje frecuentes.

También instan a “desconfiar de los milagros”, ya que “si un hotel o vuelo es sospechosamente barato o el sitio genera una urgencia inusual, la oferta suele estar manipulada”.

Según advierte esta empresa, el volumen de ciberataques relacionados con el turismo se ha disparado un 122% en los últimos tres años. “El cibercrimen está apuntando con fuerza a un sector que procesa millones de datos financieros y personales justo cuando los usuarios están más distraídos, apurados por reservar y ansiosos por conseguir una buena oferta”, advierten desde Check Point.

Intentos de estafa vía Whatsapp a usuarios que reservaron hotel con Booking.com

Por otra parte, y según han confirmado a Hosteltur empresas de software de gestión hotelera, la semana pasada se detectó un gran número de intentos de phishing a través de WhatsApp a usuarios que meses atrás reservaron una habitación de hotel a través de Booking.com. Mediante este tipo de estafa, los ciberdelincuentes suplantan la identidad de la plataforma o del hotel. El mensaje que llega a través de Whatsapp a los usuarios es el siguiente:

Your booking will be cancelled within the next 24 hours*

Hello ****

Thanks for booking for your stay from 01_Aug_2026 to 04_Aug_2026!

Could you please confirm your booking details and verify your reservation? No worries, no payment will be charged-a temporary hold may be placed for verification and released immediately.

Please click this link to complete the process:

*Kindly note that if the verification is not completed within 24 hours

Cabe recordar que en abril de 2026 la plataforma de reservas Booking.com sufrió un ciberataque que podría haber permitido un acceso no autorizado a datos de sus clientes, según reconoció la propia compañía tras detectar una “actividad sospechosa”. La empresa no precisó cuántos clientes se han visto afectados por el incidente.

La agencia de viajes online, con sede en Países Bajos, envió un correo a los usuarios para advertirles de que “terceras personas no autorizadas” podrían haber accedido a información asociada a reservas, incluidos nombres, direcciones físicas y de correo, números de teléfono y otros datos facilitados por los clientes a los alojamientos. No obstante, la empresa asegura que los datos bancarios no se han visto comprometidos.

El correo enviado a los usuarios también alertó entonces de posibles intentos de fraude, como correos electrónicos o llamadas de personas que se hacen pasar por la plataforma o por los alojamientos. En este sentido, la empresa subrayó que nunca solicita datos de tarjetas de crédito por correo electrónico, teléfono, SMS o aplicaciones de mensajería como WhatsApp, ni pide realizar pagos fuera de los canales habituales de la plataforma.