El gigante global de reservas de viajes Booking.com ha confirmado un ciberataque en el que terceros no autorizados accedieron a datos personales de los clientes, incluyendo nombres, direcciones de correo electrónico, números de teléfono y detalles de reservas, lo que ha generado preocupaciones inmediatas sobre posibles ataques de phishing dirigidos a millones de viajeros en todo el mundo. Booking.com confirmó el lunes que había detectado actividad sospechosa en varios de sus sistemas. 

El gigante global de reservas de viajes Booking.com ha confirmado un ciberataque en el que terceros no autorizados accedieron a datos personales de clientes, incluyendo nombres, direcciones de correo electrónico, números de teléfono y detalles de reservas, lo que genera preocupaciones inmediatas sobre ataques de phishing dirigidos a millones de viajeros en todo el mundo.

Booking.com confirmó el lunes que había detectado actividad sospechosa en varias reservas de clientes. La compañía, que alberga más de 28 millones de listados de alojamiento en todo el mundo, notificó a los clientes afectados por correo electrónico, advirtiendo que “terceros no autorizados podrían haber accedido a cierta información de reserva asociada con tu reserva”.

A pesar de la divulgación pública, Booking.com se negó a revelar el número total de clientes afectados, las regiones específicas impactadas o el período exacto durante el cual ocurrió el acceso no autorizado.

Un portavoz de la compañía confirmó a TechCrunch que Booking.com “notó cierta actividad sospechosa que involucraba a terceros no autorizados accediendo a información de reserva de algunos de nuestros huéspedes” y que la empresa “tomó medidas para contener el problema” tras su descubrimiento.

Como medida de seguridad inmediata, Booking.com restableció los PIN asociados a las reservas afectadas e informó a los huéspedes impactados.

Los datos comprometidos incluyen, según se informa, detalles de reservas, nombres completos, direcciones de correo electrónico, direcciones físicas, números de teléfono y “cualquier información que hayas compartido con el alojamiento”.

De manera crítica, Booking.com confirmó a The Guardian que no se accedió a información financiera durante la brecha. Sin embargo, sigue sin estar claro si los datos de tarjetas de crédito almacenados en la plataforma estaban completamente aislados de la intrusión.

Las pruebas sugieren que los actores de amenazas ya están utilizando los datos robados. Al menos un usuario de Reddit afectado reportó haber recibido un mensaje de phishing dirigido por WhatsApp dos semanas antes de recibir la notificación de la brecha, un mensaje que contenía detalles precisos de su reserva e información personal.

Esto indica fuertemente que los datos de reservas robados se están utilizando activamente para campañas de ingeniería social, suplantando a Booking.com o a proveedores de alojamiento afiliados.

Booking.com ha advertido explícitamente a los clientes que nunca solicitará detalles de tarjetas de crédito por teléfono, SMS o WhatsApp, ni pedirá transferencias bancarias fuera de las pautas oficiales de confirmación de reservas.

Este incidente sigue un patrón bien documentado de ataques dirigidos al ecosistema de Booking.com. A finales de 2023, la firma de ciberseguridad Secureworks identificó campañas que utilizaban el infostealer Vidar para robar credenciales de portales de administración de hoteles, permitiendo a los atacantes enviar mensajes directos a los huéspedes con solicitudes de pago fraudulentas.

Un informe de noviembre de 2025 de Sekoia.io detalló además campañas de phishing que aprovechaban el malware ClickFix y PureRAT para comprometer cuentas de hoteles y atacar a los clientes.

Los investigadores de seguridad instan a los usuarios de Booking.com a mantenerse alerta ante solicitudes de pago no solicitadas por WhatsApp o correo electrónico, verificar todas las comunicaciones a través de canales oficiales y monitorear sus cuentas en busca de actividad sospechosa.