Cómo detectar un mensaje falso de verificación de una reserva de hotel

El mensaje conoce el hotel, las fechas de entrada y salida e incluso el nombre de quien ha reservado. Después pide verificar la estancia mediante un enlace y advierte de que, si no se completa el trámite, podría cancelarse. Esa combinación es una de las trampas de las suplantaciones dirigidas a viajeros: la información correcta sobre una reserva no demuestra que quien escribe sea el alojamiento o la plataforma.

La Agencia de Ciberseguridad de Cataluña describió el 28 de septiembre de 2026 un fraude de estas características. Los mensajes llegaban por WhatsApp y se presentaban como comunicaciones de plataformas de reservas o establecimientos turísticos. Su objetivo era conducir al huésped a una página preparada para recoger los datos de su tarjeta. La advertencia permite revisar las señales antes de responder a un aviso que parece relacionado con un viaje real.

Datos reales y una urgencia falsa para pedir la tarjeta

El primer contacto puede utilizar una cuenta de WhatsApp Business con el nombre de la plataforma. Que aparezca una denominación reconocible en el perfil no autentica el mensaje. Los datos de la estancia se emplean para generar confianza y hacer que la petición parezca parte de los trámites habituales. La comprobación debe centrarse en la acción que solicitan, sobre todo si exige introducir información bancaria en una web externa.

En el caso descrito por la agencia, después llegaba otro mensaje desde un número diferente. Una persona se presentaba como coordinador de reservas del alojamiento y alegaba un incidente técnico. Volvía a ofrecer un enlace y pedía confirmar la identidad del titular de la tarjeta con un formulario. La amenaza de perder la estancia si no se actuaba deprisa añadía presión a una comunicación que ya parecía conocer al cliente.

El enlace conducía a una página que imitaba un procedimiento legítimo. Un logotipo conocido y un diseño cuidado pueden copiarse, del mismo modo que el nombre comercial puede escribirse en el texto del mensaje. La dirección y el contexto merecen una revisión, pero no conviene convertir la comprobación en una búsqueda de faltas de ortografía: un texto bien escrito también puede pedir un pago o unos datos de forma fraudulenta.

Booking explica en sus recomendaciones para viajeros que no solicita datos de tarjeta por correo, teléfono, mensajes de texto o WhatsApp. También pide desconfiar de transferencias diferentes de las previstas en las condiciones de pago de la confirmación.

Cómo comprobar la reserva y actuar si has facilitado información

La comprobación más directa consiste en abrir la aplicación o escribir la dirección oficial de la plataforma por cuenta propia. Desde ahí se puede revisar el estado de la reserva y utilizar la ayuda disponible. Para contactar con el alojamiento, conviene acudir a un teléfono obtenido de la confirmación original o de su información oficial, en vez de responder al número que acaba de enviar la amenaza.

El Centro Europeo del Consumidor aconseja mantener la reserva, el pago y la comunicación dentro de la plataforma utilizada y prestar atención a propuestas de pago que lleguen por fuera. Ante una supuesta incidencia, resulta práctico guardar la confirmación y los mensajes para explicar exactamente qué ha cambiado. Una petición de tarjeta para verificar una estancia ya confirmada necesita esa revisión, aunque se conozca el nombre del viajero.

Si se ha entrado en la página y facilitado información bancaria, corresponde contactar cuanto antes con el banco por sus canales oficiales y explicar lo sucedido. Deben conservarse las pruebas y avisar a la plataforma. Si además se entregó una contraseña, habrá que cambiarla desde el servicio auténtico y revisar otras cuentas donde se utilizara la misma. No es necesario seguir las instrucciones del remitente para intentar arreglar el problema.

Las instrucciones de pago aceptadas al reservar siguen siendo el punto de comparación. Un mensaje posterior no debería empujar a autorizar un cargo solo porque mencione fechas correctas o tenga una cuenta empresarial. Antes de compartir datos, la pregunta útil es si la petición aparece y se confirma en un canal al que se haya accedido de manera independiente. Esa pausa permite comprobar la estancia sin entregar la tarjeta al enlace recibido.