En alguna ocasión hemos hablado de las estafas a través de Booking, que pueden ser con mensajes supuestamente del hotel, desde la propia aplicación, así como por medio de un e-mail. En este caso, te voy a contar un intento de estafa que recibí hace unos días a través de WhatsApp. Cuidado porque puede parecer real, para alguien que no tenga experiencia en ciberseguridad. Es una trampa y pueden hacerse con los datos de tu tarjeta bancaria.
Vamos a explicar en qué consiste exactamente este tipo de estafa y, lo más importante, cómo debes actuar. El objetivo es que no te roben dinero, pero también proteger a tus familiares o amigos que hayan reservado alguna estancia en un hotel y puedan enfrentarse a este problema.
Falso problema con una reserva de hotel
En mi caso, recibí un mensaje por WhatsApp, a mi nombre, de, supuestamente, el administrador de un hotel en el que me había hospedado en Berna, Suiza. Aseguraban en ese mensaje que habían intentado contactar conmigo, pero no había sido posible, todo ello en relación con una reserva que tenía con ellos, con una fecha determinada que correspondía a una real, en la que me había hospedado.
Indicaban que habían detectado un problema a través de una comprobación de seguridad automática y que no habían podido verificar los detalles de la tarjeta bancaria. Según explicaban en el mensaje, se trata de una nueva política de Booking, la plataforma con la que había reservado ese hotel, para combatir el fraude y asegurarse de que, realmente, los datos de la tarjeta corresponden con la persona legítima.
Como suele ocurrir en este tipo de estafas, me pedían que entrara en un link y completara una verificación rápida, un proceso para que pudieran comprobar que los datos de la tarjeta bancaria eran míos. Por supuesto, lo que buscan con esto es robar mis datos bancarios, además de que me pedían que aceptara la notificación push (el sistema de autenticación de dos factores que suelen usar las entidades bancarias) o bien confirmar vía SMS. Con esto, tendrían vía libre para robar mi dinero, ya que yo mismo estaría aceptando ese pago. Compartir estos códigos de verificación con terceros concede acceso no autorizado a las cuentas, con un riesgo elevado de sustracción de fondos. Te dejo parte del mensaje de WhatsApp que recibí:
Errores evidentes
Sin embargo, en mi caso personal, hay algo que, claramente, llama la atención. El mensaje por WhatsApp llegó unos días después de haber estado yo en ese alojamiento. Es decir, me amenazaban con cancelar la reserva si no seguía esos pasos, pero en realidad yo ya me había hospedado en ese alojamiento y me encontraba en otra ciudad.
Está claro que utilizan envíos automáticos, simplemente cambiando los datos personales y de reserva, a los clientes de los hoteles que han podido hackear previamente. No repararon, en este caso, en que se trataba de una reserva anterior, por lo que es más difícil que caiga en la trampa.
Otra señal que indica que, claramente, estaba ante una estafa, es que se presentó con el nombre de Christine Schmidt. Sin embargo, en el nombre de WhatsApp aparecía Yogesh Barood. Además, al entrar en la foto de perfil, salía lo que, aparentemente, era un hombre indio, ya que era una tarjeta personal, de su negocio, con letras en hindi y un número de teléfono indio (me escribió desde otro número distinto, también con prefijo indio).
En cuanto a la información de esa cuenta de WhatsApp, mostraba que era administrador de hotel y de Booking. En ningún lado aparecía el nombre del hotel donde me había hospedado, algo que indica que se trata de una campaña masiva, que apunta a hoteles muy variados, de diferentes países.
También hay que mencionar la URL que acompañaba a ese mensaje. Para nada era un dominio de Booking, ni del propio hotel. Simplemente era un dominio con nombre extraño, que simula ser de Booking. Al entrar en la web, que era personalizada (con mi número de móvil y el nombre del hotel), aparecía un formulario como dejo a continuación. Allí tenía que poner todos los datos de mi tarjeta bancaria, como si estuviera pagando realmente en Booking. Captura de la web, con el proceso para poner la tarjeta bancaria.
Algo a destacar, es que sí que estaba bien creado el sitio web, con la información correcta en cuanto al precio y una imagen general que, para alguien sin mucha experiencia, podría pasar totalmente por Booking.
Cómo actuar
Lo primero, en caso de que te llegue un mensaje de este tipo, ya sea por WhatsApp, como ha sido mi caso, o bien por e-mail o Booking, es ignorarlo. El hotel que has reservado, nunca te va a pedir que des tu número de tarjeta bancaria para verificar que eres realmente el usuario legítimo, ni te enviará un link para realizar el pago.
A partir de ahí, es importante contactar con el hotel. En mi caso, rápidamente me puse en contacto para informarles de lo que había sucedido, ya que estaba seguro de que estarían mandando mensajes similares a otros clientes. Me contestaron que, efectivamente, se trata de un mensaje Scam que están enviando a los clientes, pidiendo que verifiquen los detalles de la tarjeta y que están informando a todos los clientes.
También, en ese mismo mensaje, me pedían que denunciara el número a WhatsApp. Es algo que ya había hecho. Otro paso más que debes realizar si te encuentras ante estafas de este tipo, ya que eso ayudará a que remitan las estafas, al menos, desde ese número. No obstante, han pasado ya cuatro días desde que denuncié el número y aún sigue activo en WhatsApp.
En cuanto a qué ha podido ocurrir para que tuvieran mi número, mis fechas de entrada y salida en ese hotel, así como incluso el importe que había pagado y el medio de la reserva (Booking, en este caso), esta información la consiguen al hackear al propio hotel. Generalmente, lo hacen al controlar la cuenta de Booking de ese establecimiento, donde pueden ver los datos de los clientes, las fechas o lo que han pagado. A partir de ahí, inician el contacto por la propia plataforma, e-mail o, como en este caso, por WhatsApp.
| Señal de Alerta | Ejemplo Concreto en el Caso | Por qué es una Alarma |
|---|---|---|
| Identidad Incongruente | El mensaje lo firma 'Christine Schmidt' pero el perfil de WhatsApp es de 'Yogesh Barood'. | Los estafadores usan identidades falsas y a menudo cometen errores de coordinación. |
| Prefijo Internacional | El número de teléfono tenía prefijo de la India, para un hotel en Suiza. | Indica que el contacto no procede del hotel local, sino de un centro de operaciones de estafas. |
| URL No Oficial | El enlace para 'verificar' no apuntaba a booking.com, sino a un dominio extraño. | Es la táctica de phishing clásica para llevar a la víctima a una web falsa que roba datos. |
| Timing Sospechoso | El mensaje llegó días después de haber finalizado la estancia en el hotel. | Demuestra que es un envío masivo y automatizado sin verificar el estado real de la reserva. |
| Presión y Urgencia | Amenazan con cancelar la reserva si no se actúa de inmediato. | Buscan que la víctima actúe por impulso, sin pensar ni verificar la información. |
En definitiva, cuidado si recibes un mensaje por WhatsApp y otros medios, en caso de que hayas hecho una reserva de hotel, ya que podrían robar tus datos bancarios si caes en el error. Es clave alertar a amigos y familiares, además de protegerse uno mismo. Desde INCIBE, el Instituto Nacional de Ciberseguridad, explican cómo denunciar en caso de haber sido víctima de un ataque de este tipo. En Booking, en la página de colaboradores, tienen una sección sobre seguridad online, para alertar de problemas de este tipo e informar sobre cómo actuar.