Alerta al reservar el hotel: así intentan robar tus datos este verano

El sector turístico se ha convertido en uno de los principales objetivos de la ciberdelincuencia durante los meses de julio y agosto. El aumento de reservas, pagos online y comunicaciones entre hoteles y viajeros abre una vía especialmente rentable para los atacantes. Estos acceden a datos de clientes a través de plataformas de reserva, cuentas comprometidas de alojamientos o mensajes que imitan servicios como Booking.

El Instituto Nacional de Ciberseguridad (INCIBE) ha detectado un crecimiento de este tipo de delitos. Solo en 2025 gestionó más de 122.000 incidentes de ciberseguridad, un 26% más que en 2024. Además, las consultas a la Línea de Ayuda 017 aumentaron casi un 45%, especialmente por fraudes online, phishing y casos de suplantación de identidad.

«La tasa de éxito es mucho mayor», afirma Alejandro González ,Head of Offensive Iberia & LATAM de Advens. El especialista en ciberseguridad explica que durante el verano coinciden varios factores que facilitan los ataques. Las empresas se ven afectadas por las suplencias, plantillas reducidas y los trabajadores conectándose desde redes inseguras fuera de la oficina.

Los sectores más vulnerables

Aunque cualquier empresa puede sufrir un ataque, hay sectores especialmente expuestos durante el verano. Hoteles, plataformas de reservas, aerolíneas, agencias de viaje y empresas relacionadas con el ocio.

En la industria hotelera, los ciberdelincuentes intentan acceder a las cuentas que los hoteles utilizan para gestionar reservas. Para ello, envían correos falsos al personal del establecimiento, se hacen pasar por soporte técnico o simulan ser clientes con una incidencia urgente. «Hay muchas reservas y la gente tiene mucha prisa por contratar»,señala González, miembro de la empresa de ciberseguridad Advens. Esa urgencia provoca que muchos usuarios hagan clic en enlaces fraudulentos por miedo a cancelaciones de dichas reservas.

Según el último informe de Secure&IT, entre junio y agosto de 2025 se registró una media mensual de 522 ciberataques publicados, un 18% más que durante el mismo periodo del año anterior, cuando la cifra se situó en 444 incidencias. Las cifras coinciden con la época en la que las empresas y usuarios bajan la guardia.

El phishing sigue en el punto de mira

A pesar del avance tecnológico y de la inteligencia artificial, el phishing continúa siendo una de las técnicas más eficaces para los ciberdelincuentes. Según INCIBE, cuatro de cada diez incidentes registrados el año anterior estuvieron relacionados con fraude online y más de 25.000 casos correspondieron a campañas de phishing.

«Seguimos siendo el eslabón más débil», ha explicado González. Resulta más sencillo engañar a una persona que encontrar una vulnerabilidad compleja en un sistema protegido. Los medios más utilizados son los correos electrónicos, SMS o mensajes de WhatsApp. El objetivo suele ser conseguir contraseñas, accesos a las empresas y datos bancarios.

La inteligencia artificial también está acelerando este tipo de campañas. Los mensajes están mejor redactados, son más creíbles y pueden enviarse de forma masiva. Incluso algunos fraudes se realizan a través de llamadas falsas o clonación de voz para hacerse pasar por empleados de hoteles, bancos o servicios de atención al cliente.

La WiFi pública, una amenaza habitual

Uno de los errores más habituales durante las vacaciones sigue siendo conectarse a redes WiFi públicas en aeropuertos, hoteles, bares o estaciones. Aunque es una práctica habitual, estas conexiones representan un riesgo importante.

«Esa comunicación no está protegida», señala Advens. Interceptar información en este tipo de redes resulta mucho más sencillo para un atacante. Contraseñas, accesos a correos electrónicos o datos bancarios pueden quedar expuestos si el usuario utiliza conexiones abiertas sin protección adicional.

A esto se suma otro problema, reutilizar las contraseñas simples o almacenar accesos en navegadores sin medidas de seguridad. Es recomendable utilizar claves diferentes para cada servicio y activar la autenticación en dos pasos siempre que sea posible.

El fallo de las empresas

Revisar la seguridad únicamente de forma puntual es un error que las empresas de ciberseguridad llevan tiempo advirtiendo. Muchas compañías siguen contratando auditorías o controles aislados en lugar de mantener una vigilancia continua. La protección debe entenderse como un proceso constante.

Actualmente, las empresas de ciberseguridad trabajan principalmente con dos líneas de actuación. Por un lado, servicios defensivos destinados a proteger sistemas, accesos y redes corporativas. Por otro, servicios ofensivos que simulan ciberataques reales para detectar vulnerabilidades antes que los delincuentes.

Tanto las empresas como los particulares suelen descuidar la protección de sus datos en un momento en el que se mueve una gran cantidad de información como es el verano. Por ello, las principales medidas que deben tomar ambos pasan por reforzar la seguridad del correo electrónico y utilizar contraseñas seguras.