Booking.com confirmó el pasado 13 de abril que fue víctima de una filtración de datos, luego de que días antes usuarios del sitio web de reservas de hospedaje publicaran imágenes con notificaciones de seguridad en la app de la compañía.
“Recientemente, detectamos actividad sospechosa relacionada con el acceso de terceros no autorizados a la información de reserva de algunos de nuestros huéspedes”, declaró el líder de Comunicación de Booking, Sage Hunter, al sitio Bleeping Computer.
Hunter detalló que tras descubrir esta actividad, “tomamos medidas para contener el problema. Hemos actualizado el PIN de estas reservas e informado a nuestros huéspedes”. El vocero añadió que no se accedió a información financiera.
Aunque los datos financieros permanecen seguros, la filtración de itinerarios permite a los atacantes construir esquemas de phishing altamente creíbles basados en reservas reales; en paralelo, la exposición de información como nombres, correos y teléfonos facilita la ejecución de campañas dirigidas y refuerza el riesgo de suplantación de identidad.
Este escenario trasciende el incidente puntual y presiona directamente la percepción de seguridad del usuario, un activo crítico para plataformas digitales de alcance global.
La compañía con sede en Ámsterdam (Países Bajos) no quiso especificar cuántas personas se vieron afectadas por el ataque. Booking es un gigante del sector con presencia en 220 países: ofrece más de 31 millones de opciones de alojamiento y conecta a viajeros con vuelos en 57 mercados y transporte en 45,000 ubicaciones, según datos oficiales de la compañía.
Como líder global, la plataforma gestiona una oferta diversa en 175,000 destinos, habiendo superado las 6,800 millones de llegadas de huéspedes y ofreciendo soporte especializado 24/7 en 45 idiomas diferentes.
Índice de temas
Historial de incidentes de ciberseguridad en Booking
La filtración es lo más reciente de una serie de incidentes de ciberseguridad contra Booking.com.
La empresa ha tenido dificultades recientemente para mitigar el creciente número de estafas en línea, en que los estafadores solicitan datos de pago para preautorizar o verificar el viaje y luego realizan cargos elevados.
En 2018, los ciberdelincuentes utilizaron tácticas de phishing para robar las credenciales de acceso de empleados de hoteles en los Emiratos Árabes Unidos y, posteriormente, lograron acceder a los datos de reserva de más de 4,000 personas en la plataforma.
Booking.com notificó la filtración de seguridad a la Autoridad de Protección de Datos (AP por sus siglas neerlandesas) de Países Bajos con 22 días de retraso, lo que resultó en una multa de más de $559,000 dólares.
Esta vez, notificó más pronto al regulador de privacidad neerlandés, responsable del cumplimiento del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, aunque no está claro si lo hizo en menos de 72 horas como establece el requisito de reporte de brechas.
Aviso de Booking ante la filtración de datos de reservas
Durante el fin de semana, varios usuarios informaron vía Reddit haber recibido correos electrónicos de la dirección oficial (noreply@booking.com), advirtiendo sobre un incidente de ciberseguridad que podría haber expuesto información personal a terceros no autorizados.
Al parecer, en un principio los usuarios que recibieron estos mensajes no recibieron alertas en la aplicación de Booking.com, lo que generó confusión sobre su legitimidad.
“Según los resultados de nuestra investigación hasta la fecha, la información a la que se accedió podría incluir detalles de la reserva, nombres, correos electrónicos, direcciones, números de teléfono asociados con la reserva y cualquier otra cosa que usted haya compartido con el alojamiento”, detalla un correo enviado a un usuario.
La misma notificación incluía un PIN actualizado para un número de reserva determinado e instaba a los usuarios a tener cuidado con los correos electrónicos y las llamadas telefónicas sospechosas, recordándoles que el servicio nunca solicitará información confidencial ni transferencias bancarias.
“En Booking.com nos comprometemos con la seguridad y la protección de datos de nuestros huéspedes”, apunta el correo.
