El fraude estrella: robar tu extranet para estafar a tus huéspedes
El esquema que más daño hace al sector funciona así: llega un correo o un mensaje —a veces por el propio chat de la plataforma— que parece de Booking o de Expedia: «verifica tu cuenta», «tienes una queja de un huésped», «actualiza tus datos de cobro». El enlace lleva a una copia perfecta de la extranet. Se teclea ahí la contraseña y ya está: el atacante entra en tu cuenta real y escribe a tus huéspedes con reservas confirmadas, en tu nombre, pidiéndoles «confirmar la tarjeta» en un enlace de pago falso.
El daño es triple: huéspedes estafados con tu nombre, reseñas furiosas y semanas de recuperación de cuenta. Las dos defensas: MFA activado en cada extranet (con él, la contraseña robada no basta) y una regla de hierro para el equipo — a la extranet se entra siempre desde el marcador del navegador, nunca desde el enlace de un correo o un chat, por auténtico que parezca.
El fraude de la factura con una cuenta bancaria distinta
El segundo clásico va contra administración: un proveedor habitual —lavandería, distribuidor, la obra del verano— «avisa» por correo de que ha cambiado de cuenta bancaria, con factura adjunta perfectamente imitada. A veces el correo viene del buzón real del proveedor, que ha sido comprometido, así que mirar el remitente no basta.
La regla que lo desactiva es de procedimiento, no de tecnología: todo cambio de cuenta bancaria se verifica por teléfono, llamando al número de siempre —no al que figura en el correo— antes de pagar nada. Sin excepciones, ni siquiera con prisa. Especialmente con prisa: la urgencia fabricada es el ingrediente común de todos estos fraudes.
Los otros tres que verás pasar
- El falso organismo. Correos que imitan a la Agencia Tributaria, a la Seguridad Social o al registro de viajeros, con «notificaciones» y plazos amenazantes. Las administraciones notifican por sus sedes electrónicas, no por un PDF adjunto con enlace.
- El currículum con un archivo malicioso. Recepción recibe candidaturas espontáneas todo el año, y es el disfraz perfecto para un adjunto malicioso. Los CV se abren con visores seguros o llegan por un formulario, no como ejecutables ni documentos con macros.
- La reserva-anzuelo. Un supuesto cliente pide un presupuesto para un grupo grande y manda un enlace «con los detalles del evento». El interés económico baja las defensas; el enlace hace el resto.
Las cinco reglas de mostrador
La formación de seguridad para un equipo de hotel cabe en una charla de veinte minutos y cinco reglas:
- A los sitios importantes —extranets, banca, correo— se entra desde marcadores propios, jamás desde enlaces recibidos.
- Contraseñas y códigos MFA no se dictan nunca: ni «al técnico de Booking», ni «al del banco». Nadie legítimo los pide.
- Cambio de cuenta bancaria = llamada de verificación al número de siempre.
- Todo lo urgente y amenazante es sospechoso por definición. La prisa es del atacante, no tuya.
- El que sospecha, pregunta en voz alta y sin vergüenza. El único error grave es callarse — reenviar «mira qué raro esto» ha frenado más fraudes que cualquier filtro.
Las reglas funcionan mejor sobre una base sana: usuarios individuales y MFA —lo que contamos en el artículo sobre accesos— hacen que caer en un enlace no sea el fin del mundo.
Si ya has caído
Los primeros treinta minutos valen oro, y el orden importa: cambiar la contraseña comprometida y cerrar las sesiones abiertas; llamar al banco si hubo pago o datos bancarios; avisar a la plataforma si fue una extranet, y a tus huéspedes si el atacante llegó a escribirles — un aviso honesto a tiempo salva reservas y reputación. Y si hubo datos personales por medio, recuerda que una brecha con riesgo se notifica a la AEPD en 72 horas: tenerlo escrito en el procedimiento evita improvisar en el peor momento.