Phishing hotelero por WhatsApp: cómo proteger al huésped sin renunciar al canal que mejor funciona

El ataque empieza antes de llegar a WhatsApp

Los mensajes genéricos, mal redactados y con errores evidentes eran relativamente fáciles de detectar. Ahora, los delincuentes utilizan textos impecables e información real de la reserva para suplantar a un hotel o a una OTA y reproducen la apariencia de las webs oficiales para conducir al huésped a una página fraudulenta.

Para construir un engaño así necesitan acceder primero a los datos de la reserva. El ataque puede seguir distintas rutas.

El Centro Nacional de Ciberseguridad de Suiza alertó en junio de 2026 de un aumento de mensajes fraudulentos por WhatsApp que utilizaban datos de estancias reales. En muchos casos relacionados con reservas ya disfrutadas, los delincuentes ofrecían un supuesto reembolso utilizando información obtenida en una filtración detectada en el entorno de Booking en abril de 2026. Los mensajes incluían el nombre del hotel, las fechas de la estancia y la identidad del huésped.

El organismo también describe un segundo tipo de ataque, relacionado con reservas actuales o futuras. En estos casos, los delincuentes obtenían mediante phishing o malware las credenciales de personas con acceso a los sistemas de reservas. Una vez dentro, utilizaban la información disponible para contactar con los huéspedes y solicitarles un pago o la verificación de su tarjeta.

Microsoft Threat Intelligence documentó en marzo de 2025 una campaña dirigida específicamente al personal de empresas hoteleras. Los correos suplantaban a Booking y utilizaban situaciones cotidianas, como una reseña negativa, una consulta de un huésped o la verificación de una cuenta.

La campaña recurría a una técnica denominada ClickFix: la víctima recibe un correo que la conduce a una página con un supuesto error o una falsa comprobación. Allí encuentra instrucciones para ejecutar un comando en su ordenador. Al hacerlo, descarga sin saberlo un programa capaz de robar credenciales y otros datos sensibles.

La secuencia completa puede resumirse en cuatro pasos:

1. El atacante consigue datos de reservas reales mediante una filtración o accediendo a una cuenta comprometida.

2. Utiliza esa información para construir un mensaje personalizado y creíble.

3. Contacta con el huésped suplantando al hotel o a la plataforma de reservas.

4. Lo conduce a una web fraudulenta para obtener un pago o los datos de su tarjeta.

El huésped es la víctima final, pero el ataque empezó mucho antes: con el engaño a un empleado, el acceso a una cuenta comprometida o una filtración en alguno de los sistemas que contienen los datos de la reserva.

El riesgo recorre toda la cadena tecnológica del hotel

Los datos de una reserva pueden pasar por la OTA, el motor de reservas, el channel manager, el PMS, el CRM, el correo electrónico o la herramienta de check-in online. A lo largo de ese recorrido, distintas personas acceden a ellos para gestionar la reserva, atender al huésped o resolver incidencias.

Esta circulación dificulta identificar el punto exacto en el que se produjo el acceso y determinar responsabilidades. La información utilizada en el fraude puede proceder de una filtración en una plataforma, unas credenciales del hotel robadas, una cuenta de correo comprometida o de un acceso indebido a los sistemas de otro proveedor que interviene en la reserva.

Cada empresa debe proteger los datos y accesos bajo su control. El hotel, además, necesita conocer el recorrido de la información y quién puede consultarla. Algunas preguntas que ayudan a detectar puntos débiles son:

• ¿Qué sistemas contienen el teléfono, el correo y las fechas de estancia?

• ¿Qué personas pueden consultar o exportar esa información?

• ¿Cada persona utiliza sus propias credenciales o existen cuentas compartidas?

• ¿Se eliminan las cuentas de antiguos empleados y colaboradores?

• ¿Qué datos de la reserva aparecen en correos automáticos o notificaciones internas?

• ¿Existe un responsable al que comunicar inmediatamente una actividad sospechosa?

Esta revisión no evita todos los ataques, pero permite detectar cuentas innecesarias, permisos excesivos y datos que circulan por canales donde no son imprescindibles.

El error de abandonar WhatsApp por miedo al fraude

Los fraudes cometidos a través de WhatsApp han puesto el canal bajo sospecha, pero cerrar una vía de comunicación no elimina el riesgo. El correo electrónico, los SMS y las llamadas telefónicas también se utilizan para suplantar a hoteles y portales de reservas.

En España, el 94,6% de los internautas utiliza WhatsApp habitualmente, según el Panel de Hogares de la CNMC publicado en mayo de 2026. Abandonarlo por miedo significa renunciar al canal más eficiente para comunicarse con el huésped. En nuestra guía sobre WhatsApp para hoteles explicamos cómo integrarlo en las distintas etapas del guest journey.

El modo en que el hotel utiliza WhatsApp marca la diferencia. Por ejemplo, un enlace de pago enviado al huésped como primera comunicación reproduce el patrón del fraude: llega sin contexto y genera sospecha.

La clave Journeytok
Si el hotel inicia la comunicación por WhatsApp con la confirmación de la reserva y envía siempre desde el mismo número la información previa a la llegada, el acceso al check-in online o los enlaces para abonar importes pendientes, el huésped reconocerá ese teléfono como el canal oficial y tendrá un criterio claro para desconfiar de mensajes que lleguen desde cualquier otro número.

Cómo convertir WhatsApp en un canal seguro para comunicarte con tus huéspedes

Estas tres medidas ayudan al huésped a reconocer las comunicaciones legítimas del hotel y a detectar indicios de fraude.

1. Presenta el número como canal oficial desde el primer mensaje

En el primer mensaje que envíes por WhatsApp, identifica el número desde el que escribes como el oficial del hotel. Anticipa también qué comunicaciones puede recibir el huésped y ofrécele una forma clara de comprobar que ese número pertenece realmente al alojamiento. Esta plantilla puede servir como punto de partida:

Este es el canal oficial de WhatsApp de [hotel]. Te enviaremos por aquí todas las comunicaciones relacionadas con tu estancia, incluido el acceso al check-in online y, si corresponde, el enlace para que abones los importes pendientes.

No nos pondremos en contacto contigo desde otro número. Si recibes una comunicación diferente o tienes alguna duda, entra en nuestra web oficial, [dominio del hotel], y llama al teléfono de recepción que encontrarás en ella.

2. Explica adónde conduce el enlace de pago

Una pasarela de pago legítima puede utilizar un dominio distinto al de la web del hotel. Por eso, una dirección desconocida no significa necesariamente que el enlace sea fraudulento.

Antes de solicitar el pago, el hotel puede indicar qué proveedor procesará la operación y cuál es el dominio exacto que aparecerá al abrir el enlace:

Al abrir el enlace accederás a la pasarela de pago de [proveedor], alojada en el dominio [dominio exacto]. Si la dirección no coincide o tienes alguna duda, no introduzcas tus datos y contacta con recepción desde nuestra web oficial.

El historial de la conversación ayuda al huésped a reconocer al remitente, mientras que el dominio anunciado le permite comprobar el destino del enlace.

3. Evita la urgencia innecesaria

Los mensajes fraudulentos suelen presionar con avisos como “paga ahora”, “verifica inmediatamente” o “tu reserva será cancelada”. El hotel debe revisar sus plantillas para que los plazos, las condiciones y las consecuencias sean claros y proporcionados.

Una comunicación legítima puede tener una fecha límite. Aun así, debe dejar al huésped margen para comprobar su autenticidad y contactar con el alojamiento.

¿Cómo puede el personal evitar que una cuenta quede comprometida?

El personal de un hotel gestiona cada día correos electrónicos, cambios de reserva, consultas de huéspedes e incidencias de pago. Los atacantes utilizan estas situaciones cotidianas como pretexto para enviar mensajes que parecen legítimos.

Un correo que aparenta informar de una reseña negativa, trasladar la consulta de un huésped o solicitar la verificación de una cuenta puede encajar perfectamente en la operativa diaria del hotel. Debe despertar sospechas cuando solicita abrir un enlace, descargar un archivo, introducir de nuevo las credenciales o ejecutar una instrucción en el ordenador.

El hotel necesita convertir las recomendaciones generales de seguridad en un procedimiento operativo:

• No abrir enlaces, adjuntos ni ejecutar instrucciones recibidas en comunicaciones inesperadas, aunque aparenten proceder de una OTA o de un huésped.

• Ante un aviso sobre una reserva, un pago o una cuenta, entrar en la plataforma desde su aplicación o dirección oficial y comprobar allí si la incidencia existe.

• Utilizar contraseñas únicas y activar la autenticación multifactor en los sistemas que la ofrezcan.

• Limitar el acceso a los datos de reservas según la función de cada persona y retirar las cuentas que ya no sean necesarias.

• Comunicar de inmediato cualquier mensaje o actividad sospechosa al responsable interno, sin intentar resolver el incidente por cuenta propia.

¿Qué debe hacer el hotel cuando un huésped avisa de un mensaje fraudulento?

La primera alerta puede llegar a recepción en forma de llamada: un huésped pregunta si el enlace de pago que acaba de recibir pertenece realmente al hotel. En ese momento ya no basta con recomendarle que ignore el mensaje. El establecimiento necesita comprobar si el fraude ha utilizado información auténtica y si puede haber más reservas afectadas.

Un protocolo inicial puede incluir los siguientes pasos:

1. Conservar las pruebas. Solicitar una captura que muestre el número remitente, el texto, la dirección del enlace y la hora de recepción. El huésped no debe volver a abrir el enlace para obtenerlas.

2. Proteger al huésped. Aclarar qué comunicaciones ha enviado realmente el hotel y, si ha introducido los datos de su tarjeta, recomendarle que contacte inmediatamente con su banco.

3. Contener un posible acceso comprometido. Si algún empleado ha abierto un archivo o seguido instrucciones sospechosas, desconectar el equipo de la red y solicitar asistencia técnica. También conviene cerrar las sesiones activas, cambiar las contraseñas desde un dispositivo seguro y activar la autenticación multifactor.

4. Determinar el alcance. Revisar las cuentas de correo, extranets y herramientas que contienen la reserva afectada; comprobar si otros huéspedes han recibido mensajes similares y solicitar a los proveedores cuyos sistemas hayan tratado esa reserva que revisen sus registros de acceso.

5. Advertir a otros huéspedes. Si existen más reservas potencialmente afectadas, enviar un aviso preventivo desde el canal oficial, identificar el número legítimo y explicar cómo verificar cualquier petición.

6. Coordinar la respuesta. El responsable interno y el equipo técnico deben investigar el origen y el alcance del incidente. El responsable o asesor de protección de datos debe valorar si existe una brecha de datos personales y qué obligaciones de comunicación o notificación resultan aplicables.

El hotel no debería señalar públicamente a un proveedor antes de disponer de evidencias sólidas. Tampoco conviene esperar a conocer el origen exacto para proteger las cuentas y para advertir a todos sus clientes.

En este punto, disponer de un CRM y de una base de datos unificada permite actuar con mayor precisión. Si los indicios afectan a determinadas fechas, establecimientos o tipos de reserva, el hotel puede identificar a los huéspedes potencialmente expuestos y advertirles rápidamente desde su canal oficial. La segmentación evita generar una alarma indiscriminada en todos los clientes de la base de datos.

Si tus huéspedes están en WhatsApp, tú también debes estarlo

Renunciar al uso de WhatsApp para comunicarte con tus huéspedes implica, por un lado, perder el canal con mayor tasa de apertura y mejores tasas de conversión; por otro, dejar al huésped sin una conversación oficial que pueda utilizar como referencia si alguien intenta suplantar al hotel.

Precisamente, son los hoteles que no usan WhatsApp los que más difícil lo tienen para evitar la suplantación. Si el huésped nunca ha recibido un WhatsApp oficial por parte del hotel, el delincuente puede ser el primero en contactar con él a través de este canal y presentar su mensaje como una comunicación legítima relacionada con la reserva, respaldada con datos auténticos.

Reducir el riesgo de fraude exige proteger el acceso a los sistemas y hacer reconocibles las comunicaciones del hotel por WhatsApp. Con Journeytok puedes automatizar las comunicaciones del guest journey, utilizar un mismo número oficial y mantener una conversación continua con el huésped desde la confirmación hasta el check-out.