Cuidado con tu reserva de hotel: alertan de una sofisticada estafa por WhatsApp donde los ciberdelincuentes saben tus datos reales

La Guardia Civil y el Instituto Nacional de Ciberseguridad (INCIBE) han lanzado una alerta urgente por una nueva estafa que circula por WhatsApp. Los ciberdelincuentes están suplantando la identidad de hoteles y plataformas de viajes para engañar a clientes con reservas activas y dirigirles a páginas falsas donde roban sus datos bancarios. Aunque el fraude se difunde principalmente por mensajería, los expertos advierten de que también puede llegar por correo electrónico o llamadas telefónicas.

Los atacantes contactan con la víctima haciéndose pasar por el hotel donde tiene una reserva y le solicitan confirmar o validar la misma. Para dotar de credibilidad al fraude, incluyen información relacionada con la reserva, como el nombre del establecimiento, las fechas de estancia u otros datos asociados, junto con un enlace que supuestamente permite completar la confirmación.

El mensaje incluye un enlace que redirige a un sitio web fraudulento controlado por los ciberdelincuentes, cuyo objetivo es obtener información personal, credenciales, datos bancarios u otra información sensible de la víctima.

Comprobaciones de seguridad antes de actuar

El INCIBE recuerda que el uso de datos reales no garantiza la autenticidad del mensaje y aconseja verificar los siguientes elementos:

• Canal de comunicación: Recibir el mensaje a través de WhatsApp, aunque utilice el nombre, el logotipo o la imagen corporativa del establecimiento, no garantiza su autenticidad. Del mismo modo, el aviso de WhatsApp indicando que la empresa utiliza un servicio seguro de Meta para gestionar el chat no implica que la comunicación sea legítima.
• Número de teléfono: Verificar que coincide con alguno de los teléfonos oficiales del establecimiento. En caso de duda, no se debe responder al mensaje ni llamar al número facilitado; es preferible localizar los datos de contacto en la página web oficial.
• Enlace y datos solicitados: Revisar cuidadosamente el dominio antes de acceder y comprobar que pertenece al hotel o a la plataforma de reservas oficial.
• Solicitud de información: Desconfiar de cualquier comunicación que solicite credenciales, datos personales o información bancaria para confirmar una reserva.
• Urgencia: Mensajes que advierten de la cancelación inminente de la reserva si no se actúa de inmediato buscan presionar a la víctima para evitar que verifique la autenticidad de la comunicación.

Protocolo y pautas de actuación para afectados

Si se ha recibido el mensaje sin pulsar el enlace ni facilitar datos, se debe evitar continuar la conversación, no acceder a la web, bloquear al remitente, eliminar la conversación y verificar el estado del viaje mediante canales oficiales. En caso de haber interactuado o cedido datos, INCIBE y la Guardia Civil recomiendan:

• Contacto e información: Consultar la Línea de Ayuda en Ciberseguridad (017) de INCIBE para recibir asesoramiento especializado.
• Entidad bancaria: Si se aportaron datos de pago, avisar inmediatamente al banco para controlar operaciones sospechosas y proceder al bloqueo de tarjetas o cuentas.
• Recopilación de evidencias: Guardar capturas de pantalla, remitentes, enlaces y justificantes, usando si es posible servicios de certificación o testigos online para reforzar su validez.
• Denuncia oficial: Presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, aportando las evidencias recopiladas.
• Seguimiento a largo plazo: Realizar búsquedas periódicas de la propia identidad en Internet (egosurfing) en los meses posteriores para detectar un posible uso indebido o exposición de los datos personales.