Mensajes falsos de Booking: cómo funciona la estafa y cómo reservar directo seguro

Te llega un mensaje dentro de la aplicación, con tu nombre, tus fechas y el nombre del hotel. Dice que hubo un problema con tu tarjeta y que tenés 24 horas para «reconfirmarla» en un enlace. Todo parece real porque casi todo es real: lo único falso es quien escribe.

Cómo funciona la estafa

Varias empresas de seguridad describieron el mismo esquema desde 2023:

1. Primero atacan al hotel. Un supuesto huésped escribe al alojamiento y manda un archivo o un enlace. Al abrirlo, la computadora de recepción se infecta con un programa que roba contraseñas, entre ellas la del panel de la plataforma (Secureworks, 2023). En 2025, Microsoft informó una campaña con correos falsos «de Booking.com» dirigidos al personal de hoteles, con una reseña negativa o una verificación de cuenta como excusa.
2. Después escriben a los huéspedes. Con la cuenta del hotel en la mano, ven las reservas reales y mandan mensajes por el canal oficial de la plataforma, con un enlace a una página de pago falsa (Akamai, 2023).
3. La plata se va en horas. En el Reino Unido, Action Fraud registró 532 denuncias y unas 370.000 libras perdidas entre junio de 2023 y septiembre de 2024 por este tipo de mensajes.

En junio de 2024, la responsable de seguridad de Booking.com estimó que el phishing había crecido entre 500 % y 900 % en un año y medio, y lo relacionó con las herramientas de inteligencia artificial que escriben mensajes sin errores. En octubre de 2024, ESET informó que un kit de estafas muy usado empezó a apuntar a Booking y Airbnb. El esquema siguió apareciendo en 2026.

Booking dice en su página de seguridad que nunca pide datos de tarjeta por correo, teléfono, SMS ni WhatsApp. En las campañas descriptas, las empresas de seguridad atribuyen el robo a cuentas de hoteles tomadas, no a un ingreso a los sistemas de la plataforma.

La otra estafa: la web de hotel falsa

También existen webs que copian a un hotel real, con sus fotos y su dirección, y aparecen en Google pagando anuncios, arriba de la web verdadera. La asociación de hoteles de Estados Unidos (AHLA) estima que los sitios de reservas fraudulentos les cuestan a los viajeros cerca de 4.000 millones de dólares por año. Por eso reservar directo pide un paso más: asegurarte de que la web es la del alojamiento.

Cómo reservar directo sin caer

• Llegá a la web por un camino que controlás: el enlace de su ficha de Google Maps, su Instagram verificado o un buscador que revise las webs. No por un anuncio ni por un enlace que te mandaron.
• Mirá el dominio. Tiene que ser el nombre del alojamiento, sin agregados como «-reservas» o «booking-oficial».
• El candado no alcanza. Que la dirección empiece con https es necesario, pero las webs falsas también lo tienen.
• Pagá dentro del sistema de reservas. Cloudbeds, Pxsol, Todo Alojamiento, SiteMinder y otros motores conocidos muestran disponibilidad, condiciones y cobran con tarjeta. Desconfiá si te piden transferir a una cuenta personal o pagar con tarjetas de regalo.
• Confirmá por otro canal. Ante cualquier duda, llamá o escribí al teléfono de su web o de Google Maps, nunca al del mensaje sospechoso.
• Desconfiá del apuro. «Tu reserva se cancela en 24 horas» es la frase más común de estas estafas.

Qué hacemos en Booking Directo

Cada alojamiento que mostramos tiene una web que revisamos: que sea la suya, que tenga conexión segura, que se vea bien en el celular y que cargue a tiempo. El botón «Reservar» lleva siempre a esa dirección, y cuando sabemos con qué sistema reserva, te lo decimos en la ficha. No te pedimos datos ni tarjetas: no hay nada que robarnos, porque no cobramos.

Si ves algo raro en una web que figura acá, escribinos a alojamientos@bookingdirecto.com y la revisamos ese mismo día.