- La Comisión Europea inició una investigación formal contra la plataforma de reservas Booking.com.
- Ciberdelincuentes hackearon cuentas de hoteles asociados para enviar mensajes fraudulentos a turistas.
- Los usuarios afectados realizaron pagos a cuentas bancarias falsas creyendo confirmar sus hospedajes.
- La plataforma arriesga multas millonarias bajo la Ley de Servicios Digitales de la Unión Europea.
Modus operandi del fraude informático a través de mensajería oficial
La Comisión Europea resolvió incoar un procedimiento formal de infracción contra la multinacional de viajes en línea Booking.com este 21 de octubre de 2026, tras constatar deficiencias sistemáticas y omisiones de seguridad en la protección de los datos de millones de usuarios y establecimientos hoteleros afiliados en todo el territorio comunitario. Las autoridades regulatorias de Bruselas señalan que la compañía no aplicó controles técnicos adecuados para impedir que redes organizadas de cibercrimen utilicen su sistema interno de mensajería para cometer fraudes financieros masivos.
El esquema delictivo indagado opera mediante ataques dirigidos de ingeniería social y credenciales comprometidas en recepciones hoteleras. Una vez que los atacantes acceden a los paneles de gestión del hotel dentro de Booking, usurpan su identidad corporativa y remiten notificaciones urgentes a los viajeros que tienen reservas confirmadas. En dichos mensajes, redactados con logotipos y tipografía idéntica a la plataforma, se exige a los clientes verificar su tarjeta bancaria o transferir de inmediato montos económicos bajo la amenaza de cancelar la estancia.
Cientos de turistas cayeron en la trampa al recibir las comunicaciones desde el propio chat oficial de la aplicación móvil de Booking, lo que otorgó una apariencia total de verosimilitud a la estafa. Las asociaciones europeas de consumidores denunciaron que la compañía eludió su responsabilidad solidaria durante meses, atribuyendo las brechas exclusivamente a descuidos de los hoteles y dilatando el reembolso de los fondos sustraídos.
La falta de mecanismos de detección automatizada de enlaces maliciosos dentro de los canales de mensajería instantánea permitió que los ciberdelincuentes desviaran millones de euros a monederos de criptomonedas y cuentas en paraísos fiscales antes de que los administradores reaccionaran.
Investigaciones técnicas independientes revelaron que los ciberdelincuentes utilizaron troyanos de acceso remoto de la familia Vidar e Infostealer, distribuidos a través de correos con falsas solicitudes de reserva o currículos en formato comprimido dirigidos a recepcionistas hoteleros. Una vez infectado el equipo del hotel, el software malicioso sustrajo las cookies de sesión activas de los portales de gestión de Booking, permitiendo a los atacantes eludir los controles convencionales de usuario y contraseña para interactuar directamente con los clientes que esperaban confirmación de su alojamiento.
La Organización Europea de Consumidores (BEUC) presentó un expediente sancionador colectivo ante las autoridades comunitarias, acusando a la plataforma de eludir su deber de cuidado al no advertir de forma proactiva a los huéspedes sobre el incremento de mensajes fraudulentos dentro de su propio sistema interno. La Comisión Europea exigirá a Booking auditar todos sus canales de comunicación con clientes en un plazo no mayor a 60 días, bajo la advertencia de que la reincidencia en estas vulnerabilidades motivará medidas cautelares directas sobre su operativa transaccional en el mercado común europeo.
Exigencias de la Comisión Europea y marco normativo DSA
Bajo las disposiciones vinculantes del marco de la Comisión Europea y la Ley de Servicios Digitales (DSA), las plataformas consideradas de gran escala tienen la obligación estricta de evaluar y mitigar los riesgos sistémicos de sus servicios. Los expertos de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) remarcaron que Booking debió instaurar de manera forzosa la autenticación multifactorial (MFA) biométrica en todos los accesos de proveedores y filtros de inteligencia artificial para bloquear enlaces de pago externos.
Este expediente se suma a las advertencias internacionales sobre la evolución del fraude digital, un entorno donde la ingeniería social se perfecciona continuamente, tal como se evidenció cuando se alertó que la inteligencia artificial borra patrones clásicos de phishing según Proofpoint en corporaciones de todo el mundo.
De confirmarse las irregularidades investigadas por Bruselas, Booking.com podría recibir sanciones financieras equivalentes a hasta el 6% de su facturación global anual, además de la imposición de auditorías independientes periódicas a sus protocolos de ciberdefensa.
