Una nueva campaña de fraude está circulando a través de WhatsApp y tiene como objetivo a quienes han reservado alojamiento para sus vacaciones. Los delincuentes se hacen pasar por el hotel y envían un mensaje con datos reales de la reserva, como el nombre del huésped, las fechas de entrada y salida o el número de reserva, para que la víctima pique sin sospechar.
La Guardia Civil y el Instituto Nacional de Ciberseguridad (INCIBE) han lanzado una alerta sobre esta estafa, que ya ha sido detectada en España. El objetivo es que el usuario pulse un enlace que lleva a una página web fraudulenta, donde le robarán información personal y bancaria. La sensación de urgencia que generan los mensajes, advirtiendo de que la reserva será cancelada si no se actúa rápido, es una de las claves del engaño.
Así funciona la estafa de los hoteles en WhatsApp
Todo comienza con un mensaje de WhatsApp que aparentemente envía el hotel donde la víctima ha reservado. En él, los estafadores agradecen la reserva y piden que se complete la validación de la estancia a través de un enlace. El mensaje incluye información real que hace que parezca legítimo, como el nombre del alojamiento, las fechas exactas y el número de reserva.
Si el usuario pincha en el enlace, no accede a la web oficial del hotel, sino a una página controlada por los ciberdelincuentes. Allí se solicita introducir datos personales, como el nombre completo, el DNI, y sobre todo información bancaria o de la tarjeta de crédito para supuestamente confirmar la reserva. Una vez que la víctima introduce esos datos, los estafadores pueden utilizarlos para realizar cargos no autorizados o suplantar su identidad.
INCIBE ha clasificado esta alerta con un nivel de importancia alto, ya que la campaña está muy bien diseñada y aprovecha la confianza de los usuarios en las comunicaciones de los hoteles. Además, no se descarta que el fraude llegue también por correo electrónico o llamada telefónica, siempre suplantando al alojamiento.
El peligro de los datos reales de la reserva
Lo que hace especialmente peligrosa esta estafa es que los delincuentes cuentan con datos auténticos de la reserva. INCIBE ha documentado un caso real en el que los estafadores accedieron a la cuenta de un hotel dentro de un portal de reservas y desde allí enviaron enlaces falsos a los clientes, logrando realizar dos cargos indebidos.
Que el mensaje incluya el nombre del hotel, las fechas o el número de reserva no significa que sea legítimo. Los ciberdelincuentes obtienen esa información mediante técnicas de ingeniería social o accediendo a sistemas vulnerables. Incluso el aviso de «servicio seguro de Meta» que aparece en WhatsApp no certifica la identidad del remitente, según advierte INCIBE. Tampoco lo hace el uso del logotipo o una fotografía oficial del alojamiento.
Por eso, los expertos insisten en que la mejor defensa es desconfiar de cualquier comunicación inesperada, por muy real que parezca. La urgencia y el miedo a perder la reserva son las armas principales de los estafadores para que la víctima actúe sin pensar.
Cómo detectar si el mensaje es falso
Hay varias señales que pueden ayudar a identificar este fraude. En primer lugar, el número de teléfono del remitente no coincide con el que aparece en la página web oficial del hotel. Si tienes dudas, no llames al número que aparece en el mensaje, sino al que encuentres en la web oficial o en la aplicación de reservas que utilizaste.
Además, el enlace del mensaje suele llevar a un dominio extraño, abreviado o diferente al oficial. Pasa el ratón por encima (sin hacer clic) para ver la dirección real. Si el dominio no es el del hotel o de la plataforma de reservas conocida, es una trampa. También conviene fijarse en la redacción del mensaje: los estafadores suelen cometer errores gramaticales o usar un tono demasiado urgente.
Otra pista importante es que los hoteles legítimos rara vez piden confirmar la reserva a través de un enlace en WhatsApp. Lo habitual es que envíen un correo electrónico o que la confirmación se gestione desde la propia plataforma. Si recibes un WhatsApp inesperado pidiendo que pulses un enlace para validar tu estancia, desconfía.
¿Qué hacer si has recibido el mensaje?
Si te llega un mensaje sospechoso, lo primero es no pulsar el enlace, no responder y bloquear al remitente. Después, comprueba el estado de tu reserva entrando directamente en la página web oficial del hotel o en la aplicación desde la que contrataste. No uses ningún enlace ni número de teléfono del mensaje.
También puedes contactar con el hotel llamando al teléfono que aparece en su web oficial, no al que te hayan enviado. Si todo está en orden, ignora el mensaje y elimínalo. Denunciar el perfil desde la propia aplicación de WhatsApp también ayuda a frenar la propagación del fraude.
INCIBE recuerda que, aunque el mensaje parezca real, nunca debes facilitar datos personales o bancarios a través de un enlace recibido por WhatsApp. La verificación en dos pasos de la aplicación y revisar los dispositivos vinculados a tu cuenta son medidas de seguridad adicionales que conviene tener activadas para evitar un robo de cuentas de WhatsApp.
Pasos a seguir si ya has caído en la trampa
Si ya has pulsado el enlace e introducido tus datos, actúa con rapidez. Lo primero es contactar inmediatamente con tu banco o entidad financiera para informar de lo ocurrido y que tomen medidas, como bloquear la tarjeta o revisar los movimientos sospechosos.
Después, presenta una denuncia ante la Policía Nacional, la Guardia Civil o el juzgado más cercano. Conserva todas las pruebas del fraude: capturas de pantalla, números de teléfono, enlaces y cualquier justificante de pago. Esto ayudará a las autoridades a investigar y a prevenir futuros casos.
Si has facilitado datos bancarios, además de contactar con tu banco, cambia las contraseñas de tus cuentas online y activa alertas de seguridad. INCIBE pone a disposición la Línea de Ayuda en Ciberseguridad, el 017, donde puedes recibir asesoramiento gratuito si tienes dudas o necesitas ayuda.
La combinación de datos reales, urgencia y la confianza que generan los mensajes de WhatsApp hace que esta estafa sea especialmente peligrosa. Las autoridades insisten en que la mejor vacuna es la precaución: desconfiar de cualquier comunicación inesperada, verificar siempre por canales oficiales y no dejarse llevar por el miedo. Si actúas con calma y sentido común, puedes evitar que los ciberdelincuentes se salgan con la suya y proteger tanto tu dinero como tus datos personales.
