Brecha en Iberostar: usan datos de reservas para pedir pagos
Por Jorge Graells · 9 de noviembre de 2026 a las 6:24 UTC · 4 min de lectura
Iberostar avisa a sus clientes de un incidente que pudo exponer nombres, correos, fechas de estancia y hotel reservado, y de correos falsos que piden dinero para confirmar la reserva. Qué se sabe y qué hacer si has reservado.
Brecha en Iberostar: usan datos de reservas para pedir pagos
- Tipo
- News
- Autor
- Jorge Graells
- Fecha
- Lectura
- 4 min de lectura
- Materias
Resumen
Iberostar avisa a sus clientes de un incidente que pudo exponer nombres, correos, fechas de estancia y hotel reservado, y de correos falsos que piden dinero para confirmar la reserva. Qué se sabe y qué hacer si has reservado.
Si tienes una reserva en un hotel de Iberostar, desconfía de cualquier correo que te pida pagar para confirmarla. La cadena ha avisado a sus clientes de un incidente de ciberseguridad que pudo exponer datos de sus reservas y de que ya hay correos fraudulentos que los usan para pedir dinero, según recogen Tourinews1 y MuySeguridad2.
Iré actualizando la noticia si la cadena da más datos.
◢Qué ha pasado
Iberostar, la cadena hotelera mallorquina, ha enviado un aviso a sus clientes. Según Tourinews1, que publicó un extracto el 6 de noviembre, el incidente pudo permitir el acceso a nombres y apellidos, correos electrónicos, fechas de estancia y el hotel reservado.
La empresa dice que no ha detectado acceso a números de documento de identidad ni a datos bancarios o de tarjetas. Pero el incidente ya tiene consecuencias: la propia cadena ha identificado correos falsos enviados a algunos clientes que reclaman un pago con la excusa de confirmar la reserva.
◢Qué se sabe y qué no
Se sabe qué datos pudieron quedar expuestos y que ya se están usando para estafar. No se sabe cuántos clientes están afectados, cuándo ocurrió el acceso ni por qué sistema se produjo. Según MuySeguridad2, la cadena tampoco ha dicho si hay un proveedor externo implicado ni si ha notificado el caso a la Agencia Española de Protección de Datos, y ese medio no ha encontrado el aviso publicado en la web de la compañía.
No es un caso aislado. INCIBE-CERT3 explicaba en octubre que durante 2026 han crecido los mensajes fraudulentos a clientes de alojamientos con datos reales de su reserva, y que ha visto varias campañas así en España y en Europa. Una reserva pasa por muchos sistemas, desde el motor de reservas de la web o la agencia online hasta el gestor de canales o el programa de gestión del hotel, y muchos son servicios en la nube que dan servicio a muchos alojamientos a la vez. Un fallo en uno de esos proveedores basta para que los datos acaben fuera, aunque el hotel no haya sido atacado directamente. En el caso de Iberostar, por ahora, no se sabe dónde estuvo el fallo.
◢Por qué este fraude funciona tan bien
El correo no te llega con un "estimado cliente" genérico. Lleva tu nombre, tu hotel y tus fechas, datos que en principio solo conocen tú y quien gestionó la reserva. Por eso parece legítimo. Según INCIBE-CERT3, lo habitual es un enlace a una página de pago falsa que imita al hotel o a la agencia y pide la tarjeta completa, a veces con un plazo de 24 horas para meter prisa.
◢Qué hacer si has reservado en Iberostar
- ▹No pagues nada desde un enlace que te llegue por correo, SMS o WhatsApp, aunque lleve tus datos reales.
- ▹Si te piden confirmar o volver a pagar la reserva, entra tú en la web oficial o llama al hotel con el teléfono que buscas tú, no el del mensaje.
- ▹Si ya has metido la tarjeta, llama a tu banco para bloquearla y denuncia en la Policía Nacional o la Guardia Civil.
- ▹Si dudas de un mensaje, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, atiende gratis todos los días.
- ▹Cuenta con que pueden seguir llegando correos durante semanas. En cómo saber si un correo es phishing tienes las señales que conviene mirar.
◢Si tienes un hotel o un alojamiento
INCIBE-CERT3 recomienda cambiar desde un equipo de confianza las contraseñas de las plataformas de reservas y del correo, cerrar las sesiones abiertas, activar el doble factor y revisar usuarios, plantillas de mensajes y la cuenta bancaria de cobro. Si hay datos personales afectados, toca valorar el riesgo y, si procede, notificar a la AEPD en 72 horas y avisar a los clientes.
Lo de fondo es el mismo problema que en otros ataques recientes: el riesgo no está solo en tus sistemas, sino en los de los proveedores que tocan tus datos. Lo conté a propósito del ciberataque a Crédit Mutuel Arkéa y en los ataques no entran por el servidor. Si quieres que tu equipo sepa reconocer estos correos antes de que un cliente pague, es parte de lo que trabajo en mis formaciones de ciberseguridad e IA.
Documentos relacionados
- News
Claude Fable 5.2 y Mythos 5.2: qué trae lo nuevo de Anthropic
Anthropic lanza Claude Fable 5.2, abierto a todos con protecciones en ciberseguridad y biología, y Mythos 5.2, el mismo modelo sin esos frenos para organizaciones verificadas. Qué mejora, la parte de ciberseguridad, dónde está y cuánto cuesta.
- Artículo
Deepfake de voz del jefe: cómo comprobar si una llamada es real
Un deepfake de voz imita con IA la voz de una persona concreta, por ejemplo tu jefe, para pedirte un pago urgente. No intentes adivinarlo por el oído: cuelga, llama tú al número que ya tienes y exige que ningún pago se autorice solo por teléfono.
- News
Atacan el hosting mittwald por su servidor MCP para la IA
El proveedor alemán de hosting mittwald sufrió un ataque que entró por el servidor MCP con el que sus clientes conectaban asistentes de IA. Robaron tokens de sesión y comprometieron 56 proyectos. Qué se sabe y qué revisar si usas conectores de IA.