El principal problema: compartir un mismo usuario
En muchos hoteles todo el equipo entra al PMS, al correo y a las extranets con las mismas credenciales. Es cómodo y sale caro por tres vías:
- Sin trazabilidad no hay conversación posible. ¿Quién aplicó ese descuento del 50 %? ¿Quién borró la reserva? Con un usuario compartido, la respuesta siempre es «alguien», y eso protege exactamente al que no debería.
- Nadie cambia una contraseña que usan seis personas. Así que sobrevive años, anotada en lugares poco seguros.
- Cuando alguien se va, se lleva la llave. Y en hostelería la gente se va a menudo: la rotación del sector convierte este detalle en la principal puerta trasera.
La solución no cuesta dinero: un usuario por persona, con los permisos de su puesto. El recepcionista de fin de semana no necesita poder exportar la base de clientes ni tocar las tarifas; el gobernanta necesita ver el estado de las habitaciones, no las tarjetas de crédito. Un PMS serio trae roles y registro de actividad precisamente para esto.
El día que alguien se marcha
El offboarding de un empleado es un procedimiento de cinco minutos que casi nadie tiene escrito. La lista completa:
- Desactivar su usuario del PMS (desactivar, no borrar: el historial de lo que hizo debe conservarse).
- Quitarlo del correo del hotel y de las cuentas compartidas cuyas contraseñas conocía — que se cambian ese mismo día.
- Revisar accesos a extranets de OTAs, TPV, banca, redes sociales.
- Recoger llaves maestras y desactivar sus códigos de las cerraduras electrónicas, si las hay.
El punto 2 explica por qué las cuentas compartidas son el enemigo: con usuarios individuales, el offboarding es pulsar un botón; con cuentas compartidas, es una tarde de cambiar contraseñas en ocho sitios — que por eso mismo nadie hace.
MFA: una de las medidas más eficaces frente a ataques reales
La autenticación en dos pasos (el código del móvil además de la contraseña) es la medida con mejor relación esfuerzo/protección que existe, porque convierte una contraseña robada en un problema pequeño en lugar de en una catástrofe. Dónde activarla, por orden de urgencia:
- El correo del hotel. Quien controla el correo puede restablecer las contraseñas de todo lo demás. Es la joya de la corona y donde primero atacan.
- Las extranets de las OTAs. Una cuenta de Booking robada se usa para estafar a tus huéspedes en tu nombre — es el fraude de moda en el sector y lo contamos en el artículo sobre phishing.
- El PMS y la banca, si lo permiten. En Hostelum el MFA es obligatorio, no opcional, precisamente porque «opcional» en la práctica significa «desactivado».
Contraseñas: menos reglas y más gestor
Las políticas de contraseñas complejas que caducan cada mes producen exactamente lo que intentan evitar: la misma contraseña con un número que crece, apuntada al lado del teclado. Lo que funciona en 2026 es más simple:
- Una contraseña larga y única por servicio, generada y recordada por un gestor de contraseñas (el navegador ya trae uno decente; los de equipo, mejor).
- Sin caducidad programada — se cambia cuando hay sospecha de compromiso, no por calendario.
- Las tres o cuatro maestras (gestor, correo) sí se memorizan, y van con MFA.
El ordenador de recepción también cuenta
Es un puesto público, encendido dieciséis horas al día, con gente esperando delante. Tres hábitos baratos: bloquear sesión al levantarse (tecla Windows+L, dos segundos), no navegar ni abrir adjuntos personales en él, y mantener el sistema actualizado. Si el PMS es cloud, el ordenador pasa a ser reemplazable: cualquier navegador limpio sirve, y una máquina comprometida no se lleva la base de datos consigo.
Una comprobación sencilla
¿Sabes, ahora mismo, cuántas personas pueden entrar en tu PMS y con qué permisos? Si la respuesta requiere investigación, esa es la primera tarea. La seguridad de un hotel pequeño no va de firewalls: va de saber quién tiene llaves de qué, y de poder quitárselas en un minuto.