El Instituto Nacional de Ciberseguridad (INCIBE) ha alertado de una campaña de fraude en la que los ciberdelincuentes se hacen pasar por hoteles para engañar a personas que tienen una reserva activa. El objetivo es convencer a la víctima de que debe confirmar o validar su estancia y dirigirla a una página web fraudulenta donde se solicitan datos personales o bancarios.
Uno de los aspectos más preocupantes de esta campaña es que los mensajes incluyen información real sobre la reserva, como el nombre del establecimiento, las fechas de entrada y salida, el nombre del huésped o incluso el número de reserva, lo que hace que el engaño resulte mucho más creíble.
Cómo funciona la estafa
La campaña comienza con la recepción de un mensaje a través de WhatsApp, aunque INCIBE no descarta que también pueda llegar mediante correo electrónico o incluso llamadas telefónicas.
En la conversación, el supuesto hotel informa al usuario de que es necesario confirmar la reserva o completar un proceso pendiente para evitar su cancelación. Para ello facilita un enlace que, supuestamente, permite finalizar la validación.
Sin embargo, ese enlace dirige a una página web fraudulenta controlada por los ciberdelincuentes, donde se solicita información personal, credenciales o datos bancarios con la excusa de completar la reserva.
El uso de datos reales aumenta la credibilidad
A diferencia de otras campañas de phishing, en este caso los atacantes disponen de información auténtica relacionada con la reserva.
Los mensajes analizados por INCIBE incluyen datos como:
- El nombre del hotel.
- Las fechas de entrada y salida.
- El nombre del huésped.
- El número de reserva.
- Otros datos asociados a la estancia.
Precisamente por ello, el organismo recuerda que el hecho de que un mensaje contenga información correcta no significa que sea legítimo.
Cómo identificar el fraude
INCIBE recomienda prestar atención a varios aspectos antes de responder a este tipo de comunicaciones:
- El canal de contacto. Que el mensaje llegue por WhatsApp o muestre el nombre y logotipo del hotel no garantiza que proceda realmente del establecimiento.
- El número de teléfono. Conviene comprobar siempre si coincide con alguno de los teléfonos oficiales del hotel y nunca llamar al número incluido en el propio mensaje.
- El enlace. Es importante revisar cuidadosamente el dominio antes de acceder y comprobar que pertenece realmente al hotel o a la plataforma de reservas.
- La información solicitada. Hay que desconfiar si se piden credenciales, datos personales o información bancaria para confirmar una reserva.
- La urgencia. Mensajes que amenazan con cancelar la reserva si no se actúa inmediatamente buscan impedir que la víctima verifique la autenticidad de la comunicación.
Qué hacer si recibes uno de estos mensajes
Si recibes una comunicación de estas características, INCIBE recomienda no acceder al enlace, no responder al remitente y bloquear la conversación.
Si realmente tienes una reserva, lo más seguro es comprobar su estado utilizando exclusivamente la página web oficial, la aplicación del hotel o los canales de contacto habituales.
En caso de haber abierto el enlace sin introducir información, basta con cerrar la página y no volver a acceder.
Si ya has facilitado datos bancarios, es recomendable contactar inmediatamente con la entidad financiera para informar del posible fraude y vigilar cualquier movimiento sospechoso.
Además, INCIBE aconseja conservar todas las pruebas posibles, como capturas de pantalla, el número desde el que se recibió el mensaje, el enlace fraudulento o cualquier justificante relacionado, y presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
Para quienes necesiten ayuda adicional, el organismo recuerda que la Línea de Ayuda en Ciberseguridad 017 ofrece asesoramiento especializado para actuar ante este tipo de incidentes.
La campaña demuestra cómo los ciberdelincuentes recurren cada vez más a información real obtenida de reservas para aumentar la credibilidad de sus ataques. Por ello, incluso cuando un mensaje incluya datos correctos sobre una estancia, la recomendación sigue siendo la misma: verificar siempre cualquier solicitud directamente con el hotel a través de sus canales oficiales y nunca mediante los enlaces recibidos en mensajes inesperados.
