Aunque uno se coja vacaciones, nunca puede uno desconectar del todo. Hace unos meses hice una reserva en un hotel a través de Booking. Reseñas estupendas y todo parecía completamente normal. Sin embargo, semanas después de realizar la reserva, a mis amigos y a mí nos dio un buen susto el descubrir que el hotel que habíamos elegido había sido hackeado, poniendo en riesgo todos nuestros datos.
Un tiempo después de haber completado la reserva a través de Booking, recibí un mensaje que, a primera vista, parecía completamente legítimo. Llegó a mi mail directamente desde la cuenta de correo oficial de Booking, por lo que hizo que nos preocupásemos bastante.
El mensaje llegó a mi correo desde la cuenta oficial de Booking
El mensaje, redactado en inglés, solicitaba una «verificación online urgente» para confirmar mi identidad y cumplir con «estándares legales y de seguridad». El texto hablaba de personalizar servicios, agilizar el check-in y protegernos contra reservas fraudulentas. El mensaje establecía un plazo de 24 horas para completar el proceso, amenazando con la cancelación de la reserva en caso contrario.
Lo más preocupante era que este mensaje no solo llegaba a través del chat de Booking, sino que también se enviaba automáticamente al correo electrónico registrado en la plataforma. Esta doble vía de comunicación le daba una credibilidad adicional que podría haber engañado fácilmente a cualquier usuario desprevenido.
Los ciberdelincuentes no se conformaron con utilizar únicamente la plataforma de reservas. Tras acceder a la base de datos del hotel, obtuvieron información personal de los huéspedes, incluyendo números de teléfono. Así, además de los mensajes a través de Booking, también recibí comunicaciones fraudulentas por WhatsApp, ampliando las técnicas de phishing a más vías de comunicación.
Al recibir mensajes tanto por Booking como por WhatsApp, muchos usuarios podrían haber pensado que realmente se trataba de un proceso de verificación estándar implementado por el hotel, aunque lo único que teníamos que hacer era no hacer nada y esperar.
Mantuvimos la calma y decidimos no actuar precipitadamente. Mi reserva ya estaba confirmada, por lo que no veía la necesidad de realizar ninguna verificación adicional. Incluso llamamos al hotel múltiples veces, pero no había respuesta alguna, signo de que se habían percatado del hackeo y estaban hasta arriba.
Días después, recibí un nuevo mensaje, esta vez genuino, del director del hotel. En un breve comunicado confirmaba nuestras sospechas: «Por favor, haga caso omiso a ese mensaje, hemos sufrido un hackeo de nuestra cuenta (phishing), booking.com ya tiene constancia de ello y están haciendo lo máximo posible para solucionarlo a la mayor brevedad».
El mensaje incluía también datos de contacto directo del establecimiento y disculpas por las posibles molestias ocasionadas. El hotel estaba gestionando activamente la situación junto con Booking.
Cómo podemos protegernos ante estos ataques
Las técnicas de pishing son cada vez más peligrosas y sofisticadas, por lo que conviene ir con pies de plomo. Existen claves para detectar si un mensaje es o no fraudulento, entre ellas el hecho de que el mensaje nos urja o amenace de manera artificial, que el idioma sea inconsistente y con faltas de ortografía, o que estén acompañados de enlaces sospechosos. Utilizar contraseñas únicas en cada servicio y activar mecanismos de autenticación multifactor es una buena manera de comenzar a mejorar nuestra seguridad en la red.
Revisar el remitente también es una buena manera de evitar sustos, y si te ha pasado lo mismo que cuento aquí, debemos tener en cuenta que Booking envía una copia de los chats que nos envían las estancias particulares a nuestro correo, por lo que es posible que se nos cuele algún mensaje fraudulento. Lo bueno es que Booking elimina los enlaces de los chats automáticamente, por lo que el riesgo disminuye.
En mi caso, todo quedó en un susto y no acabamos cayendo en la trampa, pero al menos quería dejar constancia de ello por si alguna vez te sucede a ti, que tengas presente todas estas claves.
En Genbeta | Han vuelto a anunciar otra vez «el fin de las llamadas spam» en España: qué es lo que ha cambiado
–
La noticia
Han hackeado el hotel donde pasaré las vacaciones. Lo preocupante: la estafa comenzaba desde la cuenta oficial de Booking
fue publicada originalmente en
Genbeta
por
Antonio Vallejo
.
