¿Cómo son estos mensajes?
Llegan por WhatsApp, correo, SMS o por teléfono, supuestamente del hotel o de la plataforma de reservas. En 2026 dos organismos europeos describieron dos variantes:
- Te piden confirmar la reserva: el 31 de julio de 2026, INCIBE publicó un aviso de importancia alta sobre mensajes, sobre todo por WhatsApp, en los que los ciberdelincuentes se hacen pasar por hoteles. Dicen que hay que confirmar o validar la reserva con un enlace y que, si no se hace de inmediato, se cancelará. La web falsa pide datos personales o de pago.
- Te ofrecen un reembolso: en septiembre de 2026, el servicio austriaco Watchlist Internet describió un correo según el cual un hotel había cobrado dos veces la tasa turística y una tarifa de servicio. Un botón, o un código QR en un adjunto, lleva a un portal falso con los datos reales de la estancia. Allí te piden tus claves de banca online.
¿Por qué aciertan el hotel y el número de reserva?
Según INCIBE, los delincuentes disponen de información real, como el alojamiento, las fechas, el nombre del huésped o el número de reserva, y eso hace el engaño más creíble. En el caso austriaco, Watchlist Internet cree que los datos procedían probablemente de una filtración en booking.com.
Que los datos sean correctos no demuestra nada. Tampoco el remitente: INCIBE recuerda que el logotipo o el nombre no garantizan que el mensaje proceda del hotel. En el correo austriaco, el remitente mostraba el nombre del hotel, pero la dirección no era del establecimiento.
Un ejemplo: el WhatsApp antes del puente
Ejemplo ficticio: Lucía, de Valencia, ha reservado dos noches en un hotel de Santiago de Compostela para el puente de diciembre. Cinco días antes recibe un WhatsApp con el nombre del hotel, sus fechas y el número de reserva: su tarjeta no se ha podido verificar y debe validar la reserva en un enlace en las próximas 12 horas o se cancelará.
Lucía no pulsa el enlace. En la app de la plataforma, la reserva aparece confirmada y sin pagos pendientes. Llama al hotel al teléfono de su web: en recepción nadie le ha escrito. Lucía hace capturas, reporta el mensaje a INCIBE, bloquea el número y borra el chat.
¿Cómo comprobar el mensaje sin pulsar el enlace?
- No respondas ni sigas la conversación, no pulses enlaces ni botones y no escanees códigos QR.
- Abre tú la app o la web de la plataforma, nunca desde el mensaje. Comprueba el estado de la reserva y si hay algún pago pendiente.
- Llama al hotel al teléfono de su web oficial. INCIBE aconseja no responder al número que te escribe.
- Revisa el dominio del enlace y el remitente. Desconfía de direcciones que no correspondan a los canales oficiales del hotel o de la plataforma.
- Haz capturas, reporta el mensaje y después bloquea al remitente.
Consejo: Guarda la confirmación y la web del hotel en cuanto reserves: tendrás a mano el teléfono real. Más ideas en Antes de viajar: prepara tus accesos digitales.
¿Cómo reconocer una petición de pago falsa?
| El mensaje… | Por qué no es una prueba | Cómo comprobarlo |
|---|---|---|
| cita el hotel, las fechas y el número de reserva | los delincuentes pueden tener datos reales de la reserva | abrir tú la reserva en la app |
| muestra el nombre o el logotipo del hotel | el nombre y el logotipo no garantizan nada | comparar remitente y teléfono con la web del hotel |
| amenaza con cancelar | las prisas buscan que no compruebes | llamar tú al hotel |
| ofrece un reembolso con un código QR | el portal falso pide tus claves de banca online | preguntar al hotel si hay algún reembolso |
| pide tarjeta, claves o un código | en el caso austriaco, el código autorizaba un cargo a favor de los delincuentes | no introducir nada |
Para recibir dinero, normalmente no tienes que autorizar nada. Cómo leer las confirmaciones del banco: Confirmar una operación en la app del banco.
¿Qué hacer según lo que haya pasado?
| Situación | Qué hacer | Dónde acudir |
|---|---|---|
| Solo has recibido el mensaje | No accedas al enlace; haz capturas, bloquea al remitente y borra el chat | Formulario de reporte de fraude de INCIBE |
| Has abierto el enlace sin dar datos | Cierra la página y no vuelvas a entrar | Comprueba la reserva en tu app |
| Has introducido datos bancarios | Avisa a tu banco del fraude y reúne pruebas: capturas, remitente, enlace y justificantes | Tu banco; denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado |
| Tienes dudas | Pide asesoramiento | 017, Línea de Ayuda en Ciberseguridad de INCIBE: gratuita y confidencial, de 8 a 23 h, los 365 días; también WhatsApp 900 116 117 y Telegram @INCIBE017 |
Cambia además la contraseña de tu banca online si aún puedes y vigila la cuenta las semanas siguientes. Según Watchlist Internet, los estafadores pueden volver a intentarlo con otro engaño. Pasos completos en Datos de la tarjeta introducidos en una web sospechosa. Recuperar el dinero depende de cada caso; esta página no sustituye el asesoramiento jurídico.
Errores frecuentes
- Fiarse del mensaje porque el número de reserva y las fechas son correctos.
- Llamar al número del mensaje en lugar del de la web del hotel.
- Pulsar el enlace por miedo a perder la reserva en vez de comprobarla en la app.
- Introducir las claves de la banca online y confirmar un código para un supuesto reembolso.
- Esperar tras introducir los datos de la tarjeta en lugar de avisar al banco enseguida.
Tu lista de comprobación
Las casillas sirven únicamente como recordatorio personal. No se nos envía ningún dato introducido. Para guardar la página, imprímela o guárdala en PDF desde el menú del navegador.
Preguntas frecuentes
El mensaje conoce mi número de reserva. ¿Entonces es auténtico?
No. Según INCIBE, los ciberdelincuentes disponen de información real como el nombre del alojamiento, las fechas de la estancia, el nombre del huésped o el número de reserva, y eso hace el engaño más creíble. Fíate solo de lo que veas en tu reserva dentro de la app o de lo que te confirme el hotel cuando llames a su teléfono oficial.
¿Puede un hotel pedirme un pago después de reservar?
Depende de la reserva: puedes pagar por adelantado, al llegar o con una señal. Las condiciones están en la confirmación y en la app. Si un mensaje te pide un pago extra o una nueva verificación de la tarjeta, compruébalo ahí y pregunta al hotel en un número que hayas buscado tú. No pagues nunca a través de un enlace recibido en el mensaje.
He pulsado el enlace, pero no he escrito nada. ¿Qué hago?
Según INCIBE, basta con cerrar la página y no volver a entrar. Comprueba tu reserva en la app como siempre y reporta el mensaje. Si después de pulsar el enlace descargaste un archivo o instalaste una app, lee He abierto un enlace sospechoso para aclarar qué ha pasado de verdad en tu móvil.
Fuentes y más información
Fuentes primarias de autoridades públicas, organizaciones de consumidores y proveedores. Algunas pueden estar en otro idioma; sigue las indicaciones correspondientes a tu servicio y a tu lugar de residencia.
- INCIBE: Suplantan a hoteles a través de WhatsApp y otros medios para solicitar la confirmación de reservasFuentes consultadas el:
- INCIBE: 017, Tu Ayuda en CiberseguridadFuentes consultadas el:
- Watchlist Internet (Austria): falso reembolso de una tasa turística cobrada dos veces (en alemán)Fuentes consultadas el:
