El sector turístico sufre miles de intentos de ciberataque a través de la suplantación de marcas de transporte y plataformas de reservas mediante páginas de phishing y troyanos bancarios.
Los ciberdelincuentes están aprovechando que los viajeros utilizan cada vez más plataformas digitales en cada etapa de sus vacaciones para llevar a cabo campañas de suplantación de identidad.
Las marcas de transporte, en el punto de mira
Reservar un viaje conlleva el uso de aplicaciones de movilidad, aerolíneas y plataformas de reservas, un escenario caracterizado por las prisas y los múltiples procesos de pago que resulta muy atractivo para los infractores, que aprovechan el nombre de servicios legítimos para distribuir páginas de phishing, aplicaciones falsas y ofertas fraudulentas.
Entre el segundo trimestre de 2025 y el primero de 2026, las soluciones de Kaspersky (compañía global de ciberseguridad y privacidad digital) detectaron 262.663 intentos de ataque a nivel global relacionados con marcas de transporte. Los ataques que suplantaban la identidad de Emirates representaron el 61% del total, seguidos por Uber, con un 37%.
En Europa, se registraron 5.338 notificaciones relacionadas con marcas de transporte durante el mismo periodo analizado. Uber concentró la inmensa mayoría de la actividad detectada, con 5.033 notificaciones, muy por delante de BlaBlaCar (123), Expedia (113) y Emirates (32).
Los troyanos son la amenaza más frecuente entre los archivos y objetos maliciosos asociados a marcas de transporte, y representael 30,5% de las detecciones, seguidos por los troyanos bancarios, con un 22,5%. Este tipo de malware está diseñado para robar credenciales bancarias y datos de pago.
En otras palabras, los ciberdelincuentes que suplantan a marcas del sector turístico no solo buscan obtener información sobre una reserva, sino acceder directamente a las cuentas bancarias de sus víctimas.
Uno de los fraudes identificados por Kaspersky suplanta la identidad de la aerolínea Ryanair mediante el clásico engaño de la falsa compensación económica. La víctima recibe un mensaje en el que se le informa de que tiene derecho a una indemnización por un vuelo y se le insta a introducir las credenciales de su cuenta o a abonar una pequeña tasa de gestión para recibir el supuesto reembolso.
El fraude se apoya en la urgencia, dando apenas unos segundos para actuar antes de que la oferta expire. Esta presión constituye una clara señal de alarma: las reclamaciones legítimas nunca obligan a tomar una decisión inmediata, y ninguna aerolínea exige un pago previo para tramitar un reembolso.
Fraudes en plataformas de reservas
Además del transporte, las ciberamenazas utilizan como señuelo plataformas de viajes y alojamiento. A lo largo de los trimestres analizados por Kaspersky se registraron 5.414 intentos de ataque relacionados con estas marcas, donde los troyanos representaron el 54,6% de las detecciones. En el mercado europeo se detectaron 1.117 notificaciones, con Booking.com acaparando 963 avisos, seguida de Airbnb con 126 y Agoda con 23.
Las cuentas en plataformas de viajes suelen almacenar datos personales, información de pago, historial de reservas y comunicaciones con hoteles o proveedores de actividades, lo que las convierte en un objetivo especialmente atractivo para los ciberdelincuentes. Los archivos o páginas maliciosas que imitan estos servicios pueden estar diseñados para robar credenciales, obtener información bancaria, instalar malware adicional o proporcionar acceso al dispositivo de la víctima.
Entre las campañas detectadas figura una que suplanta a Booking.com mediante una página falsa prácticamente idéntica a la original. Tras introducir sus datos personales y de pago para completar una supuesta reserva, la víctima no recibe ninguna confirmación, la habitación nunca llega a reservarse y el dinero acaba directamente en manos de los estafadores.
Debido al elevado grado de similitud con el proceso legítimo de Booking.com, muchas personas solo descubren el fraude cuando llegan a su destino y comprueban que no existe ninguna reserva registrada.
«Las marcas relacionadas de viajes ocupan una posición única en la que confluyen la confianza del usuario, la urgencia y las transacciones económicas, lo que las convierte en un objetivo muy atractivo para los ciberdelincuentes que buscan aparentar legitimidad», explica Evgeny Kuskov, Lead Security Researcher de Kaspersky.
«Cuando una persona reserva un vuelo o solicita un transporte suele hacerlo con rapidez, comparando precios entre distintas páginas web, lo que aumenta la probabilidad de hacer clic en una oferta aparentemente atractiva o en un aviso relacionado con su cuenta. Lo más llamativo es que las marcas más utilizadas por los ciberdelincuentes pertenecen a servicios muy diferentes, desde plataformas de movilidad hasta aerolíneas internacionales, lo que demuestra que los ciberdelincuentes buscan llegar al mayor número posible de víctimas.
Cómo evitar las estafas por ciberataques
Para reducir el riesgo de sufrir un fraude relacionado con los viajes, los analistas de Kaspersky recomiendan:
- Reservar siempre a través de las páginas web o aplicaciones oficiales.
- Comprobar cuidadosamente la URL antes de introducir cualquier dato de pago.
- Desconfiar de ofertas demasiado atractivas o que exijan actuar con urgencia.
- Utilizar contraseñas robustas y diferentes para cada servicio, además de activar la autenticación multifactor siempre que sea posible.
- Descargar únicamente aplicaciones desde las tiendas oficiales.
- Revisar periódicamente los movimientos de la cuenta bancaria tras realizar una reserva.
- Escanear códigos QR solo cuando procedan de fuentes fiables.
- Utilizar una protección frente a estafas impulsada por Inteligencia Artificial capaz de identificar páginas de phishing y sitios fraudulentos antes de compartir información confidencial.
- Si es necesario utilizar redes wifi públicas, conectarse a través de una VPN segura que cifre la conexión y añade una capa adicional de protección al acceder a servicios de viaje o cuentas personales.
Durante el último año, las soluciones de Kaspersky registraron cerca de 270.000 intentos de ciberataque que utilizaban como reclamo algunas de las marcas más populares del sector turístico.
