Te llega un mensaje de WhatsApp de tu hotel, con tus fechas y número de reserva. Y aun así, es mentira

Julio y agosto son los meses en los que más reservas de hotel se confirman, se modifican o se cancelan a última hora, y eso es justamente lo que están explotando los estafadores este verano. El truco de suplantar a un negocio de confianza no es nuevo, pero la ejecución sí ha dado un salto: el mensaje que llega por WhatsApp incluye el nombre del hotel, las fechas exactas de la estancia y hasta el número de reserva, así que la primera reacción de cualquiera es fiarse.

El Instituto Nacional de Ciberseguridad (INCIBE) ha emitido una alerta de nivel alto de importancia tras detectar una campaña de mensajes fraudulentos que suplantan a establecimientos hoteleros para robar credenciales y datos bancarios.

Conviene situarla dentro de una tendencia que lleva meses al alza, la llamada whatsapping, el término que agrupa a todos los timos que nos llegan por esta aplicación.

El dato real que hace bajar la guardia

Lo que distingue a esta campaña de otras suplantaciones es la precisión con la que se presenta la información. El mensaje no dice simplemente "somos su hotel", sino que menciona el nombre completo del huésped, las fechas de entrada y salida y el número de expediente de la reserva, datos que en teoría solo debería conocer el propio establecimiento. Ese nivel de detalle es lo que convierte una estafa genérica en una muy difícil de identificar a simple vista.

INCIBE advierte de algo que conviene tener siempre presente: que un mensaje incluya información verídica sobre tu reserva no certifica en ningún caso que quien lo envía sea quien dice ser.

Tampoco lo hace la etiqueta de "chat verificado" o "cuenta de empresa" que muestra WhatsApp junto al nombre del remitente, algo que muchos usuarios interpretan como un sello de garantía y que en realidad no impide la suplantación.

El organismo tampoco descarta que el mismo guion se traslade al correo electrónico o a llamadas telefónicas en las que se imite la voz de un empleado del hotel.

Urgencia, enlace falso y el resto ya lo pone la víctima

El mecanismo, una vez capta la atención con esos datos reales, recurre a la fórmula de siempre: crear una sensación de urgencia. El mensaje suele advertir que la reserva se cancelará si no se completa una validación de inmediato, y ese aviso viene acompañado de un enlace que lleva a una web diseñada para imitar la identidad visual del hotel o de la agencia de viajes que gestionó la reserva. Una vez dentro, el formulario pide credenciales de acceso, datos personales o directamente el número de la tarjeta.

Es el mismo patrón que ya hemos visto en la estafa del banco que se cuela por videollamada y vacía cuentas en cuestión de segundos: cambia el pretexto (ahora es el hotel, antes era la entidad financiera), pero la estructura de fondo, urgencia más enlace más formulario, se repite casi sin variaciones.

Qué hacer si te llega uno de estos mensajes

La recomendación oficial pasa por no pulsar el enlace bajo ningún concepto, no compartir información privada y evitar seguir la conversación con el remitente.

Lo siguiente es bloquear el número y borrar el chat, algo que ya explicamos con detalle para cualquier contacto sospechoso que aparezca en la aplicación. Si hay dudas reales sobre el estado de una reserva, lo más seguro es consultarlo directamente en la web o la aplicación oficial del hotel, nunca a través del enlace recibido por mensaje.

Si se ha llegado a entrar en la página fraudulenta sin rellenar ningún formulario, basta con cerrar el navegador. Si, en cambio, ya se han facilitado datos bancarios, INCIBE recomienda contactar de inmediato con la entidad financiera para bloquear la tarjeta o proteger la cuenta, además de guardar capturas de pantalla, el número de teléfono y la URL del enlace para poder denunciar el intento de fraude ante la Policía Nacional o la Guardia Civil.

El organismo pone a disposición de cualquier afectado el teléfono gratuito 017 para resolver dudas sobre cómo actuar ante un incidente de este tipo.

Con las vacaciones todavía a mitad de camino y miles de reservas pendientes de confirmar, es previsible que este tipo de mensajes sigan llegando durante las próximas semanas, y probablemente con aún más datos reales incrustados en el texto para resultar todavía más convincentes.

Imágenes | INCIBE con edición

En Xataka Móvil | Juan Carlos Galindo, experto en ciberseguridad: "es mucho más seguro pagar con el móvil que con la tarjeta"

En Xataka Móvil | He instalado Bizum Pay el primer día para pagar con el móvil. Mi banco tenía otros planes