8 estafas comunes de ciberseguridad
(y cómo proteger tu hotel de ellas)
Durante la última década, los hoteles han integrado rápidamente la tecnología en casi todas las facetas de sus operaciones. Esto ha aportado una eficiencia y una conectividad sin precedentes, pero también ha expuesto a los hoteles a un número cada vez mayor de amenazas a la ciberseguridad.
Si bien los ciberataques contra las principales cadenas hoteleras acaparan los titulares, el sector de la hotelería en su conjunto es vulnerable. Según un informe de Trustwave, casi el 31 % de las organizaciones del sector de la hotelería han informado de una violación de datos en la historia de su empresa. De estos, casi el 90 % se vieron afectados más de una vez al año, lo que indica que ser víctima una vez aumenta la probabilidad de volver a serlo.
¿Por qué los hoteles son objetivos tan privilegiados? Los ciberdelincuentes buscan información confidencial de los huéspedes, como datos de tarjetas de crédito, números de pasaporte e información de identificación personal (PII), que pueden vender, retener para pedir un rescate o utilizar en transacciones financieras fraudulentas.
A continuación, desglosamos algunas de las estafas de ciberseguridad más comunes en el sector de la hotelería, cómo funcionan y cómo los hoteleros pueden mitigar el riesgo mediante mejores prácticas de ciberseguridad.
1. Correos electrónicos de phishing
Las amenazas cibernéticas suelen comenzar con un simple correo electrónico. En un ataque de phishing, los hackers se hacen pasar por proveedores, agencias de viajes online (OTA), o incluso ejecutivos para engañar a los empleados y que hagan clic en enlaces maliciosos, descarguen malware o revelen sus credenciales de inicio de sesión.
En 2023, los investigadores de ciberseguridad de FortiGuard Labs descubrieron una campaña de phishing en la que los atacantes enviaban correos electrónicos haciéndose pasar por consultas de reservas de hotel. Los correos electrónicos contenían archivos PDF adjuntos maliciosos que, al abrirlos, ejecutaban el malware «MrAnon Stealer», capaz de extraer datos confidenciales de los clientes del sistema.
Para proteger tu hotel contra los correos electrónicos de phishing:
- Forma al personal para que verifique los dominios de los remitentes y nunca haga clic en enlaces sospechosos
- Utiliza la autenticación de correo electrónico y los filtros de spam
- Promueve una cultura de «detente y comprueba» entre los equipos que manejan datos de huéspedes e información financiera
2. Estafas con reservas falsas de OTA
Una forma de phishing son las estafas en reservas OTA, dirigidas tanto a empleados de hoteles como a huéspedes. Los huéspedes reciben correos electrónicos o mensajes de texto falsos que se hacen pasar por plataformas como Booking.com o Expedia, en los que se les pide que reconfirmen o vuelvan a pagar una reserva. A menudo, estos enlaces conducen a sitios falsos que roban datos de pago. Por su parte, los empleados de los hoteles pueden recibir correos electrónicos falsos de confirmación de reservas de OTA o advertencias diseñadas para engañarlos y que hagan clic en enlaces con malware bajo presión de tiempo.
En 2023, la Comisión Australiana de Competencia y Consumo informó de un aumento del 580 % en las estafas relacionadas con Booking.com, con pérdidas que superaron los 337 000 $. Los estafadores enviaron correos electrónicos de phishing a socios hoteleros, lo que les permitió acceder sin autorización y suplantar su identidad, pudiendo así ponerse en contacto directamente con los huéspedes y solicitarles métodos de pago.
Para proteger tu hotel y a tus huéspedes de las estafas en las reservas de OTA:
- Informa a los huéspedes en los correos electrónicos previos a la llegada que nunca solicitarás el pago a través de mensajes de texto o enlaces de terceros
- Marca las páginas de inicio de sesión de las OTA y evita utilizar motores de búsqueda para acceder a ellas
- Capacita al personal para verificar las direcciones de los remitentes y responder solo a través de plataformas oficiales
- Habilita la autenticación multifactorial para las extranets de OTA y los inicios de sesión en el PMS
- Informa inmediatamente a los socios OTA sobre cualquier correo electrónico sospechoso o intento de suplantación de identidad
3. Vishing (phishing por voz)
Al igual que el phishing, pero por teléfono, el vishing consiste en que los estafadores se hacen pasar por ejecutivos de hoteles, personal de soporte informático o incluso bancos para engañar al personal y que les facilite información confidencial.
En septiembre de 2023, MGM Resorts sufrió un ataque de vishing en el que un hacker se hizo pasar por un empleado para obtener acceso interno a sistemas críticos. La brecha provocó cortes generalizados que afectaron a las cerraduras de las habitaciones de hotel, los sistemas de pago y las herramientas de reserva digital.
Para proteger tu hotel contra el vishing:
- Capacita al personal para que se mantenga alerta ante llamadas inesperadas o urgentes en las que se solicite información
- Nunca facilites contraseñas ni información confidencial por teléfono
4. Relleno de credenciales
El relleno de credenciales consiste en utilizar nombres de usuario y contraseñas robados, a menudo obtenidos de violaciones no relacionadas, para obtener acceso a sistemas internos o redes administrativas. Si el personal reutiliza las contraseñas o las almacena de forma insegura, el riesgo aumenta considerablemente.
En 2020, Marriott confirmó una filtración en la que los atacantes utilizaron el relleno de credenciales para acceder a datos robados de aproximadamente 5,2 millones de huéspedes. Ameet Naik, evangelista de seguridad de PerimeterX, afirma: «Al final, los hackers encuentran un nombre de usuario y una contraseña que funcionan y que les permiten comprar productos para revenderlos, vaciar cuentas de fidelización o robar información personal».
Para proteger tu hotel contra el relleno de credenciales:
- Obliga a utilizar contraseñas seguras y únicas para cada sistema
- Activa la autenticación de dos factores (2FA) siempre que sea posible
- Utiliza el control de acceso basado en roles (RBAC) en tu PMS para limitar la exposición de los datos
- Supervisa las notificaciones de inicio de sesión en nuevos dispositivos para detectar posibles accesos no autorizados
- Implementa el inicio de sesión único (SSO) siempre que sea posible para reducir la fatiga de contraseñas
5. Suplantación de Wifi
La suplantación de Wi-Fi se produce cuando los estafadores crean redes Wi-Fi falsas que parecen casi idénticas a las de tu hotel, engañando a los huéspedes para que se conecten. Estas redes pueden interceptar el tráfico, capturar inicios de sesión o instalar malware.
La campaña de ciberespionaje «DarkHotel» se dirigía a viajeros de negocios comprometiendo las redes Wi-Fi de los hoteles. Los atacantes cargaron código malicioso en los servidores de los hoteles, lo que les permitió atacar a usuarios concretos que eran huéspedes de hoteles de lujo, principalmente en Asia y Estados Unidos.
Para proteger tu hotel de la suplantación de wifi:
- Comunica claramente el nombre oficial de la red wifi a los huéspedes en el check-in
- Utiliza el cifrado WPA2 o WPA3 en todos los dispositivos conectados en red
- Controla los puntos de acceso no autorizados con sistemas inalámbricos de detección de intrusos
6. Vulnerabilidades de las tarjetas llave
Tanto los ciberdelincuentes como los investigadores han demostrado cómo los fallos de los sistemas de tarjetas llave obsoletos pueden permitir el acceso no autorizado a la habitación mediante herramientas de clonación RFID o exploits de firmware.
En un ejemplo bien conocido, un grupo de investigadores de seguridad reveló una técnica de pirateo de tarjetas llave de hotel llamada «Unsaflok» que les permitía abrir casi instantáneamente varios modelos de cerraduras con tarjeta llave, instaladas en 3 millones de puertas de todo el mundo.
Para proteger tu hotel de hackeos de tarjetas llave:
- Asegúrate de que las cerraduras están actualizadas con el firmware más reciente
- Evita el uso de llaves maestras genéricas o credenciales codificadas
- Trabaja con proveedores de cerraduras que admitan auditorías remotas y alertas en tiempo real
7. Estafas de sobrepago
Las estafas de sobrepago consisten en utilizar una tarjeta de crédito para «pagar de más» por una reserva (a menudo con una tarjeta robada o una tarjeta virtual falsa) y luego solicitar un reembolso mediante un método de pago diferente, normalmente antes de que el cargo original se señale como fraudulento.
Estas estafas se aprovechan de la complejidad de los flujos de trabajo de las tarjetas de crédito y las anulaciones de pagos, especialmente para los hoteles que gestionan múltiples métodos de pago.
Para proteger tu hotel de estafas de sobrepago:
- Nunca emitas devoluciones a una tarjeta o método de pago diferente
- Ten cuidado con las reservas de gran valor o de última hora con detalles imprecisos
- Utiliza PMS y herramientas de pago que validen la autenticidad de las tarjetas y marquen los comportamientos sospechosos
8. Fraude amistoso (fraude por devolución de cargo)
El fraude amistoso se produce cuando un huésped impugna un cargo legítimo, a menudo alegando falsamente que nunca se ha alojado en el establecimiento o que no ha autorizado el pago. Esto puede ser especialmente perjudicial para las reservas no reembolsables, bloqueos de grupo o estancias para eventos especiales.
El Índice de Confianza y Seguridad Digital de Sift descubrió que el 17 % de los consumidores que presentaron devoluciones de cargo admitieron haberlo hecho de forma fraudulenta.
Para proteger tu hotel del fraude por devolución de cargo:
- Recoge y almacena las tarjetas de registro firmadas o las confirmaciones digitales de check-in
- Utiliza descriptores de facturación claros y coherentes para que los huéspedes reconozcan los cargos
- Documenta todas las interacciones con los huéspedes, especialmente las relacionadas con devoluciones o reclamaciones
- Lucha contra las devoluciones de cargos con herramientas de procesamiento de pagos y PMS que ofrezcan flujos de trabajo de resolución de disputas (como el portal de disputas de Cloudbeds)
Un paso por delante
El sector de la hotelería se basa en la confianza de los huéspedes, y los retos actuales de la ciberseguridad están poniendo a prueba esa confianza más que nunca. Desde el robo de información de clientes hasta la vulnerabilidad de los sistemas de reservas, los hoteles se enfrentan a una superficie de ataque cada vez mayor que requiere una vigilancia continua.
¿La buena noticia? Estos riesgos de ciberseguridad son en gran medida evitables.
Al fomentar una sólida cultura de ciberseguridad, invertir en una infraestructura de TI segura y colaborar con proveedores externos que se toman en serio la protección de datos, los hoteles pueden salvaguardar la experiencia de los huéspedes, proteger los datos financieros y evitar las implicaciones legales, reputacionales y financieras de una violación de la seguridad.
