A mediados de mayo, ya son muchas las personas que tienen listas sus vacaciones de verano. Y los ciberdelincuentes han encontrado una ciberestafa denominada Reservation Hijack Scam y detectada por los investigadores de Gen, responsable de antivirus como Norton y Avast, para atacar a los viajeros aprovechando precisamente ese momento de ilusión previo a las vacaciones.
Los atacantes ahora utilizan información auténtica relacionada con reservas reales para construir engaños prácticamente imposibles de distinguir.
La Reservation Hijack Scam usa datos que solo deberían conocer el viajero y el hotel
La mecánica del fraude comienza cuando los delincuentes obtienen acceso a información legítima vinculada a una reserva turística.
Los atacantes pueden utilizar conversaciones auténticas, datos de hoteles comprometidos o incluso credenciales robadas de plataformas utilizadas para gestionar alojamientos vacacionales.
Con esa información elaboran mensajes extremadamente convincentes: incluyen el nombre exacto del establecimiento, fechas de estancia, detalles de la reserva e incluso información relacionada con pagos.
La víctima recibe una comunicación aparentemente oficial indicando, por ejemplo, que existe un problema con la reserva, que es necesario verificar una tarjeta bancaria o realizar un pago adicional para mantener la habitación confirmada.
La gran diferencia es que todos los datos parecen encajar
Y precisamente ahí está el peligro. El ataque llega cuando el usuario ya ha reservado. El fraude se produce una vez la persona ya ha confirmado el alojamiento.
Ese momento psicológico es clave. El usuario cree haber terminado todo el proceso y baja la guardia. A partir de ahí, los estafadores aprovechan la urgencia.
Un mensaje puede alertar de una supuesta incidencia con el pago, una verificación pendiente o un problema administrativo. En muchos casos, incluso utilizan canales que parecen oficiales o mensajes integrados dentro de plataformas ampliamente conocidas. El nivel de personalización convierte esta técnica en una amenaza especialmente eficaz.
La inteligencia artificial multiplica el peligro
La evolución de estas campañas coincide con el uso creciente de herramientas de inteligencia artificial por parte de grupos criminales.
La IA permite redactar mensajes impecables, adaptar idiomas, personalizar contenidos y generar comunicaciones que imitan perfectamente el estilo de hoteles o plataformas reales.
Hace unos años muchos fraudes podían detectarse por errores ortográficos, traducciones deficientes o mensajes genéricos. Eso prácticamente ha desaparecido.
Ahora las comunicaciones pueden resultar completamente naturales y estar adaptadas a cada usuario.
Las señales que deberían hacer saltar las alarmas
Aunque este fraude es mucho más sofisticado, todavía existen algunos elementos capaces de delatarlo.
Se recomienda desconfiar especialmente cuando aparecen situaciones como:
- Solicitudes urgentes de pago tras haber confirmado la reserva.
- Peticiones para introducir nuevamente datos bancarios.
- Mensajes recibidos mediante canales no habituales como WhatsApp o SMS.
- Enlaces externos enviados fuera de plataformas oficiales.
- Solicitudes para realizar transferencias a cuentas personales.
También resulta recomendable revisar cuidadosamente las direcciones web. Los ciberdelincuentes utilizan dominios visualmente muy similares a páginas legítimas para engañar al usuario durante apenas unos segundos.
Los fraudes turísticos no solo se dan en hoteles
El llamado secuestro de reservas es solo una parte del problema. La actividad turística está provocando además un incremento de otros fraudes digitales relacionados con viajes y eventos masivos.
También hay campañas basadas en resultados falsos dentro de buscadores, perfiles fraudulentos en redes sociales, promociones inexistentes y venta ilegal de entradas.
Muchos delincuentes aprovechan el miedo a quedarse sin alojamiento o sin acceso a un evento importante para acelerar decisiones impulsivas.
Cómo protegerse este verano
La principal recomendación sigue siendo sencilla: detenerse antes de actuar.
Ante cualquier mensaje inesperado relacionado con una reserva, conviene acceder directamente a la plataforma original o contactar con el hotel utilizando canales oficiales.
También resulta recomendable activar autenticación en dos pasos, utilizar contraseñas diferentes y evitar introducir datos bancarios tras pulsar enlaces recibidos mediante mensajes.
Y ojo, ningún descuento espectacular, oferta urgente o problema de última hora justifica actuar con prisas.
