La UE investiga a Booking.com por anuncios falsos y phishing

El 21 de octubre de 2026 la Comisión Europea abrió un procedimiento formal contra Booking.com en virtud de la Ley de Servicios Digitales (DSA, Reglamento (UE) 2022/2065). El procedimiento sigue a una investigación preliminar y debe determinar si la plataforma, designada como plataforma en línea de muy gran tamaño (más de 45 millones de usuarios en la UE), ha evaluado y mitigado de forma adecuada los riesgos de fraude que pasan por su servicio. Booking.com ha declarado que colabora plenamente con la Comisión.

Para quien trabaja en seguridad la noticia interesa por un motivo concreto: en el centro hay una cadena de ataque conocida desde hace años, que empieza en los alojamientos y termina en la cartera de los clientes aprovechando datos de reserva auténticos.

Las tres líneas de la investigación

Los tres medios coinciden en el alcance del procedimiento:

• anuncios fraudulentos y no conformes: anuncios publicados por quien se hace pasar por propietario de un inmueble que no le pertenece, y alojamientos que no cumplen las normas;
• phishing, smishing e ingeniería social: la Comisión examinará cómo Booking.com comparte los datos de reservas y huéspedes con los alojamientos, qué garantías impiden que se usen para pedir pagos fraudulentos y cómo está diseñado el servicio de mensajería de la plataforma, que puede utilizarse para phishing. Según The Register, la Comisión sospecha también una protección insuficiente de los datos de consumidores y usuarios profesionales;
• transparencia publicitaria: si los anuncios de pago y los alojamientos que pagan por subir en los resultados se reconocen como tales.

Si se confirma una infracción, la multa puede llegar al 6% de la facturación mundial anual, con la obligación de adoptar medidas correctoras. La Comisión recuerda que la apertura del procedimiento no prejuzga el resultado y que puede aceptar compromisos propuestos por la empresa.

La cadena de ataque

Una portavoz de la Comisión, citada por The Register, describe el esquema: los estafadores toman el control de la cuenta de un propietario, sustituyen los datos de contacto y escriben a los huéspedes pidiendo pagos adicionales. Agenda Digitale explica por qué funciona: el mensaje contiene las fechas de la estancia y los importes correctos, y pide con urgencia volver a introducir los datos de la tarjeta para no perder la habitación. Incluso un usuario atento tiene pocos elementos para reconocerlo.

Las campañas documentadas en los últimos años, recordadas por Infosecurity Magazine, muestran de dónde llegan los accesos:

• 2023: Secureworks (hoy parte de Sophos) describió el uso del infostealer Vidar para robar las credenciales de Booking.com de hoteles asociados, usadas después para enviar phishing a los clientes y sustraer los datos de pago;
• marzo de 2025: Microsoft informó de una campaña ClickFix que suplantaba a Booking.com, con correos dirigidos al sector de la hostelería en Norteamérica, Oceanía, Asia y Europa, para hacer instalar malware que roba credenciales;
• junio de 2026: TrendAI Research identificó correos contra alojamientos asociados en Japón, disfrazados de quejas de huéspedes y solicitudes de reseña, para que el personal ejecutara archivos maliciosos.

En términos de MITRE ATT&CK la secuencia se lee así: phishing al personal de los alojamientos (T1566) y ejecución por parte del usuario (T1204), robo de credenciales guardadas en el navegador (T1555.003), uso de cuentas válidas en la plataforma (T1078) y, por último, suplantación de identidad ante los huéspedes (T1656). El punto débil no es un software concreto, sino la cuenta del alojamiento: quien la controla ve datos suficientes para construir solicitudes creíbles.

Las cifras citadas por la Comisión

Según The Register, los funcionarios recordaron que la propia Booking.com admitió en junio de 2024 un aumento de las estafas de viaje de entre el 500 y el 900% en los 18 meses anteriores. Solo en los Países Bajos, también según The Register (única fuente de este dato), en la primera parte de 2026 se presentaron más de 1.000 denuncias de fraude, diez veces más que el año anterior, con 82.000 euros de daños, y llegan informes similares de casi todos los Estados miembros. Un funcionario calificó de «absolutamente insuficientes» las medidas adoptadas hasta ahora. En adelante la Comisión espera una evaluación de riesgos más rigurosa, que podría incluir la lucha contra el abuso del sistema de reservas, la retirada rápida de los anuncios denunciados, la comprobación de licencias y un proceso distinto de alta de los propietarios.

Agenda Digitale enmarca el caso en los artículos 34 y 35 de la DSA (evaluación y reducción de riesgos sistémicos) y recuerda dos precedentes en marketplaces: una multa de 200 millones de euros a Temu el 28 de mayo de 2026 y de 550 millones a AliExpress el 20 de julio de 2026.

Qué significa para las empresas europeas e italianas

La DSA se aplica a la plataforma, pero el riesgo operativo recae en los alojamientos, muy numerosos en Italia, y en las empresas cuyos empleados reservan viajes de trabajo. Para hoteles, casas rurales y gestores de alquileres de corta duración, una cuenta comprometida significa clientes estafados en su nombre, daño reputacional y posibles violaciones de datos personales de los huéspedes que deben evaluarse según el RGPD.

Qué hacer ya

Alojamientos y gestores de inmuebles

• activa la autenticación multifactor en las cuentas de las plataformas de reservas donde esté disponible, con usuarios nominativos para el personal y revocación inmediata para quien deje la empresa;
• gestiona las reservas desde equipos actualizados, con antivirus/EDR activo, sin guardar las contraseñas en el navegador;
• trata con prudencia los adjuntos y enlaces de quejas, solicitudes de reseña o documentos «de un huésped», y enseña al personal a no pegar nunca comandos en la ventana Ejecutar o en PowerShell cuando una página web lo pide (técnica ClickFix);
• revisa periódicamente los datos de contacto, los datos de cobro y los accesos de la cuenta: un cambio que no has hecho tú es una señal de compromiso;
• si sospechas un acceso indebido, cambia las credenciales desde un equipo limpio y avisa a la plataforma y a los huéspedes con reservas activas.

Empresas y responsables de viajes

• recuerda a los empleados que una solicitud de volver a introducir la tarjeta recibida por mensaje, SMS o chat debe verificarse siempre desde la app o la web oficial, nunca desde el enlace recibido;
• valora tarjetas corporativas virtuales o con límites para los viajes.

Monitorización técnica

• busca en los equipos procesos PowerShell o mshta lanzados por explorer.exe con comandos ofuscados, y accesos a los almacenes de credenciales del navegador por parte de procesos inusuales.

Cómo ayuda ARXDOME

ARX Expose señala los dominios parecidos al tuyo registrados por terceros, las cuentas de la empresa implicadas en filtraciones y la configuración SPF y DMARC del correo, útiles contra quien se hace pasar por tu empresa. ARX Shield controla el estado de la protección de los equipos, y ARX Horizon permite buscar los indicadores de compromiso de las campañas conocidas.

Última actualización: 22 de octubre de 2026