La suplantación de la identidad en internet, conocida como phishing, es una de las técnicas más utilizadas por los estafadores a la hora de obtener los datos bancarios de los clientes de plataformas como Booking, que maneja millones de reservas a lo largo del año. El principal cambio que se ha producido en los últimos años, en paralelo al auge del turismo en España y en todo el mundo, es la sofisticación de esa usurpación: si el lenguaje utilizado antes era demasiado burdo y las comunicaciones se limitaban a mensajes de texto o correos electrónicos, ahora la vía favorita para delinquir es WhatsApp, la aplicación de mensajería más utilizada en España, y los datos a los que tienen acceso son a veces tan privados que sirven para esquivar la desconfianza del cliente. Booking asegura haber bloqueado 14 millones de intentos en 2025, mientras Airbnb hace campañas entre sus clientes para alertar del riesgo.Un gestor de inmuebles para turistas que prefiere permanecer en el anonimato lo explica a EL PAÍS. Este profesional ha recibido numerosas quejas por parte de clientes sobre comunicaciones irregulares a través del teléfono móvil usurpando la identidad de la plataforma Booking y reclamando datos bancarios o de tarjetas de crédito o débito usadas en la transacción. “Los mensajes contienen información extremadamente precisa de las reservas, como nombres completos de los huéspedes, fechas exactas de entrada y salida, número de referencia o nombre exacto del inmueble”, precisa este gestor. Todo comenzó en abril, cuando la plataforma con sede en Holanda comunicó a sus usuarios el robo de información relacionada con sus reservas. “Recientemente detectamos actividad sospechosa que implicaba que terceros no autorizados pudieran acceder a cierta información de reservas de algunos clientes”, reconoció en un comunicado. Este gestor constata que el problema ha escalado de forma “alarmante” en los siguientes meses. “Los atacantes están contactando directamente por WhatsApp con viajeros que tienen reservas confirmadas para los próximos meses en Canarias y en destinos peninsulares, exigiendo que introduzcan los datos de sus tarjetas bancarias”.El modus operandi de estos estafadores se ha perfeccionado y, al margen de contar con una información más precisa, también crean perfiles aleatorios de WhatsApp o enlaces a dominios fraudulentos para capturar tarjetas de crédito y autorizaciones de pago. “Exigen una verificación de estancia en un plazo límite de 24 horas bajo la amenaza explícita de cancelar la reserva”. En este caso concreto, todos los mensajes recibidos procedieron de números de teléfono con prefijo de Estados Unidos.La presión por ahorrarUna portavoz de Booking en España confirma que se ha producido esa escalada en las usurpaciones de identidad en los últimos meses, que enmarca en el crecimiento exponencial del turismo en los últimos años. “La realidad es que suele haber un aumento de phishing, en general en la industria turística, en la época de vacaciones, tanto verano como Navidad, porque evidentemente las reservas se multiplican. El phishing y el robo de identidad son amenazas que afectan a todos los actores del entorno digital y evolucionan constantemente”, recalca. Preguntada por el impacto que ha tenido en España, precisa que la compañía no comparte datos desglosados por motivos de privacidad y seguridad. “A escala global, Booking bloqueó 14 millones de intentos de transacciones fraudulentas antes de que pudieran llegar a los clientes en 2025. Además, identificamos y bloqueamos de forma proactiva 26.000 cuentas comprometidas antes de que nos pudieran notificar cualquier actividad sospechosa”. En su opinión, esas cifras reflejan el trabajo constante de los sistemas de detección y de los equipos especializados para identificar y detener este tipo de actividad. “Recomendamos a cualquier persona que reciba un mensaje sospechoso que no haga clic en ningún enlace ni comparta datos personales, credenciales o información de pago. Si cree que ha sido objeto de un intento de fraude, debe ponerse en contacto con nuestro equipo de atención al cliente a través de los canales oficiales de Booking y denunciar el mensaje o la actividad sospechosa”.Airbnb, la otra gran plataforma de reservas en España, realiza cada año, coincidiendo con la llegada del verano, una campaña de concienciación entre sus clientes para advertirles sobre los riesgos en las transacciones digitales. Una encuesta encargada por la citada plataforma revelaba en junio que casi la mitad de los adultos españoles no sabría identificar un sitio web de vacaciones o alojamientos falso, “lo que les hace vulnerables a plataformas clonadas y solicitudes de pago fuera de la plataforma”. Entre las conclusiones de la encuesta se cita a la presión por ahorrar gastos como el principal riesgo. “Casi seis de cada diez buscan activamente formas de recortar el gasto en sus vacaciones de verano y esa ansiedad financiera puede crear las condiciones perfectas para el fraude”, precisaba el estudio. Una de las novedades más relevantes es que la generación Z (la nacida entre 1998 y 2007) es la más expuesta, pese a ser también la más formada en cuestiones tecnológicas. “El 40% ha caído en una estafa de viajes o alojamiento al menos una vez, el doble que los grupos de mayor edad”.Más allá del sector turístico, uno de cada tres operadores esenciales que sufren casos de usurpación de identidad pertenecen al sector financiero, según el último informe del Instituto Nacional de Ciberseguridad (Incibe). Desde la Asociación Española de la Banca matizan que ese porcentaje se refiere a los 401 incidentes que se detectaron en operadores esenciales, no a los 122.223 incidentes detectados en total. “La banca es una de las infraestructuras críticas más digitalizadas y sometidas a mayores obligaciones de detección, registro y notificación de incidentes”, asegura una portavoz de la patronal bancaria. Pese a ello hace referencia a una encuesta elaborada por Sigma Dos, que apunta que el fraude digital se produce principalmente a través de canales ajenos a la banca: el 65% de los españoles afirma haber recibido correos electrónicos o SMS fraudulentos, el 50% llamadas engañosas y el 25% intentos de fraude a través de redes sociales.