El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado de una campaña de fraude en la que ciberdelincuentes suplantan la identidad de hoteles y otros alojamientos turísticos mediante mensajes enviados principalmente a través de WhatsApp, aunque no se descarta que la misma estrategia pueda emplearse también mediante correo electrónico o llamadas telefónicas. El objetivo consiste en convencer a personas que disponen de una reserva de alojamiento para que accedan a una página web fraudulenta donde se les solicita información personal, credenciales o datos de pago.
El engaño resulta especialmente convincente porque los atacantes utilizan información auténtica relacionada con la reserva. En los casos analizados por el organismo aparecen datos como el nombre del establecimiento, las fechas de entrada y salida, el nombre del huésped o incluso el número de reserva. Esta información refuerza la apariencia de legitimidad del mensaje y favorece que la víctima considere que la comunicación procede realmente del hotel.
La mecánica del fraude comienza con un mensaje en el que se indica que es necesario confirmar, validar o completar algún aspecto de la reserva. Para ello, se facilita un enlace que supuestamente dirige al procedimiento oficial de verificación. Sin embargo, la dirección conduce a una página web controlada por los ciberdelincuentes que imita la identidad visual del alojamiento o de la plataforma utilizada para realizar la reserva.
Una vez en el sitio fraudulento, la víctima puede encontrarse con formularios destinados a recopilar información personal, datos bancarios u otra información sensible bajo el pretexto de finalizar el proceso de confirmación. INCIBE recuerda que el hecho de que un mensaje incluya datos correctos sobre una reserva no constituye una garantía de autenticidad, ya que esa información puede haber sido obtenida previamente por los delincuentes y utilizada como técnica de ingeniería social para incrementar la confianza de la víctima.
Ante este tipo de comunicaciones, el organismo recomienda comprobar siempre el canal empleado para contactar. Que el mensaje llegue mediante WhatsApp, utilice el logotipo del establecimiento o incluso muestre la indicación de que la empresa emplea un servicio seguro de Meta para gestionar la conversación no implica que la comunicación sea legítima. Del mismo modo, aconseja verificar que el número de teléfono coincida con alguno de los canales oficiales del alojamiento y evitar responder directamente al remitente cuando existan dudas, recurriendo siempre a los datos de contacto publicados en la página web oficial del establecimiento.
También resulta fundamental revisar cuidadosamente el dominio del enlace antes de acceder a él y desconfiar de cualquier solicitud de información personal, credenciales o datos bancarios presentada como requisito para confirmar una reserva. Los mensajes que apelan a la urgencia, advirtiendo de una posible cancelación inmediata si no se actúa con rapidez, constituyen otro de los indicadores habituales de este tipo de campañas de fraude.
Si un usuario recibe un mensaje de estas características, INCIBE aconseja no acceder al enlace, no facilitar información y no continuar la conversación con el remitente. Además, recomienda bloquear el contacto, eliminar el chat y comprobar el estado de la reserva exclusivamente a través de la página web o la aplicación oficial del hotel.
En caso de haber abierto el enlace sin introducir información, la recomendación es cerrar inmediatamente la página y no volver a acceder a ella. Si, por el contrario, se han facilitado datos bancarios, es necesario contactar cuanto antes con la entidad financiera para informar del incidente y adoptar las medidas de protección oportunas.
El organismo también aconseja conservar todas las evidencias disponibles —como capturas de pantalla, números de teléfono, enlaces utilizados, correos electrónicos o justificantes relacionados— y presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Quienes necesiten orientación adicional pueden solicitar asesoramiento a través del servicio 017, la Línea de Ayuda en Ciberseguridad de INCIBE, especializada en este tipo de incidentes.
Artículo redactado con asistencia de IA (Ref. APA: OpenAI. (2026). ChatGPT (GPT-5.5, 2 de agosto). OpenAI).
