Phishing de seguimiento en hospitality: así se explota la filtración de datos de las OTAs

Por Antonio José Soler Morillas · Imorillas · Julio 2026

El sector hotelero sigue siendo uno de los objetivos prioritarios para los ciberdelincuentes. En los últimos meses, desde imorillas.com hemos observado en varios hoteles asociados un repunte claro de una tipología de ataque muy concreta —el phishing de seguimiento, o spear phishing hiperdirigido— que golpea directamente donde más duele a un alojamiento: la confianza del huésped.

A continuación analizamos el modus operandi de esta campaña, de dónde proceden los datos que la hacen tan efectiva y qué debe hacer un hotel, cadena o alojamiento independiente para contenerla, tanto a nivel tecnológico como de comunicación con el cliente.

1. El origen: una ventana de exposición anterior al 1 de abril

A diferencia del phishing masivo tradicional —donde el atacante dispara mensajes genéricos a ciegas—, esta campaña muestra un nivel de inteligencia operativa mucho más alto. El correo no llega a cualquiera: llega a quien tiene una reserva real, con datos reales.

El vector de entrada no está en los PMS ni en los ERPs de los hoteles individuales, sino un escalón más arriba: en el ecosistema de distribución (OTAs y gestores de canales), donde se han detectado accesos no autorizados durante el primer trimestre de 2026.

Brecha de datos previa (antes del 1 de abril)
                │
                ▼
Extracción de PII: email real, nombre, fechas, importe, alojamiento
                │
                ▼
Campaña automatizada dirigida a reservas de temporada alta (verano 2026)

El patrón de datos identificado:

• Segmentación temporal. El impacto se concentra de forma abrumadora en reservas realizadas antes del 1 de abril de 2026, con estancia programada para la temporada estival (julio–septiembre de 2026).
• Información crítica expuesta (PII). El atacante dispone del nombre del titular, fechas de check-in/check-out, importe exacto de la estancia, nombre del establecimiento y, lo más grave, el email personal real del cliente —extraído antes de cualquier encriptación o alias de la plataforma—.

2. Anatomía del ataque

Para el huésped, el mensaje es indistinguible de una comunicación legítima. Al incluir los datos exactos de su reserva, la barrera psicológica de la desconfianza cae casi al instante.

ASUNTO: Pendiente de confirmación — Reserva [Número_Real]

Estimado/a [Nombre_Real]:

¡Gracias por elegir [Nombre_Hotel]! Le recordamos su próxima
reserva ([Número_Real]) para el [Fecha_Entrada_Real].

Intentamos contactar por WhatsApp pero no recibimos confirmación.
Si su reserva sigue vigente, confírmela aquí:

        [ CONFIRMAR RESERVA ]  →  enlace malicioso / pasarela clonada

TOTAL: [Importe_Real] € (se abona íntegramente en el hotel)

Técnicas de manipulación empleadas:

• Falsa sensación de gratuidad. El mensaje insiste en que “hoy no se cobra nada” y que el pago se hará en el hotel, lo que relaja las alarmas: la víctima lo interpreta como una simple verificación técnica.
• Urgencia por un canal ficticio. Se justifica el contacto alegando que “no hubo respuesta por WhatsApp”, empujando al usuario a decidir en caliente.
• Redirección fuera del entorno oficial. El enlace lleva a una pasarela de pago clonada (dominio lookalike) diseñada para robar credenciales bancarias o datos de tarjeta.

3. Por qué compromete la reputación del hotel (y cómo explicarlo)

Cuando un huésped recibe este correo, su primera reacción suele ser: “el hotel ha filtrado mis datos”. Y ahí es donde entra nuestro papel como partner tecnológico: ayudar al establecimiento a explicar lo ocurrido con precisión y a implantar una arquitectura de comunicación más segura.

La explicación técnica es sencilla: las OTAs suelen comunicarse con el hotel a través de correos con alias temporales. Si el huésped recibe el phishing en su correo personal, la filtración no ha salido del PMS del hotel, sino de una brecha en un eslabón anterior de la cadena de distribución, donde el cliente introdujo originalmente su dirección real.

Esa distinción —aunque no exime de responsabilidad al ecosistema en su conjunto— es clave para que el hotel pueda responder con datos, no a la defensiva.

4. Plan de acción tecnológico y preventivo

Para contener el impacto operativo y proteger la reputación del establecimiento, recomendamos actuar en tres frentes:

A. Alertas preventivas antes de la estancia (pre-stay)

Configurar en el PMS o gestor de mensajería un envío automático en cuanto entra una reserva para fechas de temporada alta, con un mensaje claro:

“Recordatorio de seguridad: [Nombre del hotel] nunca le solicitará pagos, verificaciones de tarjeta ni confirmaciones fuera del canal oficial de su reserva.”

B. Auditoría de seguridad interna

• Credenciales. Forzar el cambio de contraseñas en las extranets (Booking, Expedia, etc.) y activar MFA/2FA de forma obligatoria para todo el equipo.
• Control de accesos por IP. Restringir el acceso a las extranets a los rangos de IP de la red del hotel o a VPNs corporativas.

C. Canal de reporte rápido

Formar al equipo de recepción y atención al cliente para que, ante cualquier duda sobre un correo sospechoso:

1. Confirmen manualmente el estado de la reserva en el PMS y tranquilicen al cliente.
2. Reporten el intento de phishing de inmediato a la OTA correspondiente para que bloquee los dominios implicados.

¿Necesitas auditar la ciberseguridad de tu hotel?

En imorillas.com ayudamos a empresas del sector hospitality a proteger su ecosistema tecnológico, optimizar sus canales de venta directos y garantizar una comunicación segura con sus huéspedes. Si quieres revisar la seguridad de tus integraciones con OTAs y PMS, contacta con nuestro equipo de consultoría tecnológica.