El volumen de ciberataques dirigidos a la industria de la hostelería, los viajes y el ocio se ha disparado un 122% en los últimos tres años a escala global elevandose hasta los 2.200 ciberataques semanales, según los últimos datos recopilados por Check Point Research, la división de Inteligencia de Amenazas de Check Point Software Technologies.

Esta intensificación delictiva, de carácter marcadamente estacional, responde a una estrategia deliberada de las redes de cibercrimen para sacar partido de los meses de mayor contratación vacacional.

El informe técnico revela que el sector turístico sufrió durante el pasado mes de mayo de 2026 una media de 2.291 ciberataques semanales por cada organización.

Este volumen representa un repunte del 24% en comparación con el mismo periodo del año anterior, un incremento que contrasta con el tímido avance interanual global del 2% registrado en la media del resto de sectores económicos.

La evolución a largo plazo constata la gravedad del escenario: las ofensivas semanales por empresa han pasado de las 1.032 registradas en mayo de 2023 a las actuales 2.291.

Los expertos en seguridad informática explican que las redes de fraude planifican la campaña estival con la misma antelación y logística que las empresas legítimas, apuntando a un sector que procesa millones de credenciales personales y datos financieros en un momento en que los usuarios muestran mayor premura por reservar y menor nivel de alerta digital.

INDUSTRIALIZACIÓN DEL FRAUDE Y RESERVA ESTACIONAL

De acuerdo con la investigación, el despliegue de infraestructura fraudulenta previo al verano ha alcanzado cotas «abrumadoras».

Solo durante el pasado mes de mayo se detectó el alta y registro de 47.318 nuevas páginas web vinculadas de forma directa a la temática turística, lo que supone un incremento del 33% respecto a abril y un 19% más en comparación interanual.

Los analistas alertan de que uno de cada 112 de estos nuevos dominios ya ha sido catalogado formalmente como malicioso o bajo sospecha activa.

Asimismo, una parte sustancial del resto de páginas permanece actualmente en una fase de ‘hibernación’, sin actividad aparente, programadas para activarse coincidiendo con las semanas de máxima afluencia y contratación vacacional.

CAMPAÑAS DE SUPLANTACIÓN A GIGANTES DEL SECTOR

Check Point Research ha desmantelado la estrategia subyacente detrás de tres grandes campañas coordinadas de registro masivo de dominios que clonan portales líderes de la industria turística.

En el caso de Booking.com, se ha verificado el uso de páginas falsas como ‘bookingni[.]com’ para interceptar credenciales de inicio de sesión y numeraciones de tarjetas de crédito, junto con las variantes ‘booking-cn[.]com’ y ‘booking-hk[.]com’, dirigidas al mercado de habla china con ofertas simuladas de mitad de año y tarifas en yuanes, operadas por el mismo actor que controla ‘booking-jp[.]com’ y ‘booking-zh[.]com’.

Respecto a la plataforma Airbnb, los ciberdelincuentes han empleado el dominio fraudulento ‘airbnb-ca[.]com’ enfocado a usuarios con intención de viajar a Canadá, mostrando imágenes de recursos turísticos reales de las Rocosas Canadienses y listados falsos de inmuebles en ciudades como Toronto, Montreal y Vancouver para captar pagos ilícitos.

Por último, las estafas vinculadas a la marca Skyscanner recurren a portales web como ‘skyscanners[.]shop’ y ‘skyscanners[.]life’ para promocionar complejos hoteleros inexistentes en Malasia mediante supuestas tarifas de preventa, cuyo único objetivo final es la recaudación de depósitos económicos que nunca llegan a convertirse en reservas reales.

RECOMENDACIONES DE SEGURIDAD PARA EL USUARIO

Ante este escenario, la división de ciberseguridad recuerda que la táctica predilecta del cibercrimen es la manipulación psicológica, valiéndose de la urgencia del comprador y de ofertas sospechosamente baratas.

Para mitigar riesgos, Check Point Research aconseja a los usuarios introducir siempre de forma manual la dirección URL en la barra del navegador, descartando el acceso a través de enlaces incluidos en correos electrónicos o anuncios publicitarios.

Del mismo modo, se insta a revisar exhaustivamente cada letra del dominio web antes de proceder a introducir información sensible o contraseñas, efectuar los pagos online preferentemente mediante tarjeta de crédito por sus mayores coberturas de protección y sistemas de disputa frente a cargos indebidos, activar los protocolos de doble factor de autenticación (2FA) en las cuentas de viaje habituales y, de forma general, desconfiar de ofertas cuyos precios resulten inverosímiles.