Mensajes falsos de «Booking.com» que roban la cuenta del hotel y estafan a tus huéspedes: cómo reconocerlos y qué hacer (2026)

Actualizada: 9 de noviembre de 2026

Desde hace tiempo circulan correos que parecen de Booking.com o de un huésped y que buscan entrar en la cuenta de tu alojamiento. Con ese acceso, los estafadores escriben a tus huéspedes con datos reales de la reserva y les piden pagar con tarjeta por un enlace. Esto es lo que dicen Microsoft, Booking.com, Airbnb y las autoridades (fuentes al final). No es asesoramiento jurídico: ante un caso concreto, habla con la plataforma, tu banco o la policía.

Cómo funciona el engaño

Microsoft describió una campaña contra empresas de hostelería, también en Europa, que empezó en diciembre de 2024 y seguía activa en febrero de 2025.

Llega un correo que parece de Booking.com: una reseña negativa, la consulta de un posible huésped, una «oportunidad de promoción» o una «verificación de cuenta».
El enlace (o un PDF con el enlace) lleva a una página falsa con un «captcha». Te pide pulsar unas teclas para abrir la ventana «Ejecutar» de Windows y pegar algo que la página ya ha copiado: así se instala un programa que roba contraseñas y datos financieros.
Con tus claves, entran en tu extranet y escriben a tus huéspedes por el chat de la plataforma, con su nombre y fechas reales, pidiendo «volver a pagar» o «confirmar la tarjeta» por un enlace, a menudo con prisa («en 24 horas o se cancela»).

Señales para reconocerlo

Prisa o amenaza: «verifica hoy o se suspende tu cuenta», «responde a esta reseña ya».
Te piden iniciar sesión, descargar un archivo o abrir un enlace que no esperabas, por correo, SMS o WhatsApp.
Un «captcha» que te pide pulsar teclas o pegar algo: ningún captcha real hace eso.
Direcciones o dominios parecidos pero no iguales, y faltas de ortografía.
Booking.com dice que sus agentes solo te piden el ID del alojamiento, nunca tu contraseña ni un número de tarjeta.

Qué hacer antes de que pase

Activa la verificación en dos pasos en Booking.com, Airbnb y tu correo: aunque roben la contraseña, hace falta el código del móvil.
Entra siempre escribiendo tú la dirección de la plataforma o desde su app, nunca desde un enlace de un correo.
No ejecutes nunca nada que te pida un «captcha» ni pegues comandos en tu ordenador.
Usa contraseñas distintas para la extranet y para el correo, y que cada persona del equipo tenga su propio acceso.
Explica a tus huéspedes en la confirmación cómo cobras de verdad (por ejemplo, «pagas en el alojamiento») y que nunca pedirás la tarjeta por un enlace.

Si ya ha pasado

Cambia las contraseñas de la extranet y del correo desde un equipo limpio y activa la verificación en dos pasos.
Avisa a la plataforma por sus canales oficiales: en Booking.com, desde «Contact Booking.com», que lleva al formulario de incidencias de seguridad para partners.
Avisa a tus huéspedes con reserva próxima de que ignoren cualquier petición de pago por enlace; Booking.com recuerda a los viajeros que nunca pide datos de tarjeta por correo, teléfono, SMS o WhatsApp.
Si alguien pagó, que llame a su banco para bloquear la tarjeta.
Guarda capturas, correos y enlaces: te servirán para la plataforma y para la denuncia.
Revisa el ordenador con un técnico si llegaste a ejecutar algo.

Dónde pedir ayuda y denunciar

España: el 017 de INCIBE es gratuito y confidencial, de 8:00 a 23:00 todos los días, también para empresas (WhatsApp 900 116 117, Telegram @INCIBE017). Asesora, pero no recoge denuncias: la denuncia se presenta ante las Fuerzas y Cuerpos de Seguridad.
Portugal: presenta denuncia ante la policía. Para incidentes informáticos existe además el Centro Nacional de Cibersegurança (CNCS).
Italia: la Polizia Postale recibe señalizaciones a través del «Commissariato di P.S. online».
Grecia: la Dirección de Persecución del Delito Electrónico de la policía atiende en el 11188 y en ccu@cybercrimeunit.gov.gr; informa en cyberalert.gr.

Cómo ayuda iQuota

En iQuota el pago es siempre en el alojamiento y nunca se piden datos de tarjeta por mensaje. Las IA reciben tus datos desde tu ficha, no desde correos. Esto no sustituye a la seguridad de tus cuentas en las plataformas, pero es un canal más sin pagos por enlace.

¿Quieres una página oficial de reserva que las IA puedan leer y un conector con tus precios reales, sin comisión? Los primeros 30 hoteles entran gratis hasta el 30 de junio de 2027.

Ver el programa Hoteles Fundadores

Preguntas frecuentes

¿Booking.com me puede pedir la contraseña por teléfono?

No. Según Booking.com, sus agentes solo piden el ID del alojamiento y nunca la contraseña ni el número de tarjeta.

Un huésped ha pagado por un enlace falso, ¿qué le digo?

Que llame ya a su banco, que avise a la plataforma por su canal oficial y que guarde las pruebas para denunciar.

¿Llamar al 017 es poner una denuncia?

No: el 017 asesora; la denuncia se presenta ante la policía.

Fuentes

Más guías para hoteles

Más guías para hoteles →

English · Italiano · Português · Ελληνικά