Brecha de datos en Iberostar: la cadena alerta de correos fraudulentos

Iberostar Hotels & Resorts ha avisado a sus clientes de un posible acceso no autorizado a datos personales asociados a sus reservas. La compañía confirma que esa información ya se está usando para reclamar pagos fraudulentos a los huéspedes, un patrón que INCIBE y la AEPD llevaban meses documentando en el sector turístico español.

La cadena hotelera mallorquina, que gestiona más de 100 hoteles según su propia web corporativa, ha comunicado un incidente de ciberseguridad que podría haber permitido el acceso no autorizado a los nombres y apellidos, direcciones de correo electrónico, fechas de estancia y hoteles reservados por sus clientes. Según la comunicación remitida a sus clientes, las comprobaciones realizadas por la empresa no han detectado acceso a números de identificación personal ni a datos bancarios o de tarjetas de crédito. MuySeguridad no ha podido contrastar ese aviso en la web de reservas de la compañía, donde no aparece publicado de forma accesible.

El incidente ya tiene consecuencias confirmadas. Según la propia Iberostar, se han identificado comunicaciones fraudulentas enviadas por correo electrónico a algunos clientes con reservas en sus hoteles, en las que se solicitan pagos con el argumento de confirmar la reserva realizada. La cadena asegura que mantiene procedimientos específicos en materia de protección de datos y ciberseguridad, y sitúa el suceso en un contexto de aumento de los ataques dirigidos a empresas del sector turístico.

Por ahora se desconoce el alcance del incidente: la compañía no ha concretado cuántos clientes están afectados, cuándo se produjo el acceso ni a través de qué sistema se habría producido. Tampoco ha informado de si hay un proveedor externo implicado o si el caso ha sido notificado a la Agencia Española de Protección de Datos, que exige notificar la brecha a la autoridad de control sin dilación indebida y, a ser posible, en las 72 horas siguientes a su conocimiento, salvo que sea improbable que suponga un riesgo para los derechos y libertades de los afectados.

Un patrón que las autoridades ya venían documentando

El caso Iberostar encaja con una precisión llamativa en el fraude que INCIBE-CERT describía hace tres semanas. En un análisis actualizado el 15 de octubre, el organismo explicaba que los datos de una reserva solo los conocen el cliente y los sistemas que han intervenido en ella: el motor de reservas de la web del hotel, las agencias de viajes online, los gestores de canales, los sistemas centrales de reservas y las aplicaciones conectadas. Como buena parte de esos sistemas son servicios en la nube compartidos, un incidente en un proveedor puede afectar a muchos establecimientos aunque sus propios sistemas no hayan sido atacados. INCIBE-CERT aseguraba tener constancia de varias campañas de este tipo en España y en el resto de Europa durante 2026.

La AEPD había llegado a la misma conclusión por la vía estadística. En su informe de notificaciones de brechas de julio, con 919 casos recibidos en un solo mes, la agencia destacó que las brechas relacionadas con establecimientos hoteleros y con sus encargados de tratamiento, generalmente software de gestión de reservas, habían contribuido «en gran medida» al aumento de notificaciones. Los datos sustraídos, advertía, se utilizan para contactar con los clientes alegando problemas en el pago y reclamar de nuevo el importe de la reserva, unos intentos de fraude que, según la agencia, «en muchas ocasiones tienen éxito».

La agencia aprovechó además para recordar las obligaciones que estos incidentes activan: documentar la brecha, notificarla a la autoridad de control y comunicarla a los afectados cuando supone un alto riesgo, además de revisar las medidas de seguridad y exigir garantías a los encargados del tratamiento, con la autenticación reforzada como ejemplo citado expresamente.

El sector acumula precedentes. Booking.com comunicó en abril un acceso no autorizado a datos de usuarios vinculados a determinadas reservas, sin que la información financiera se viera afectada, y Air Europa sufrió en 2023 y 2024 sendos incidentes que expusieron datos de clientes. Las grandes cadenas internacionales llevan años en pie de guerra contra los ciberataques, y las brechas de datos personales siguen siendo la notificación más habitual en España, como muestra también el reciente caso del Servicio Extremeño de Salud.

Para un responsable de seguridad, lo relevante de este aviso no es solo lo que pudo salir de Iberostar, sino dónde residen esos datos: repartidos por una cadena de sistemas que el hotel no siempre controla directamente. Queda por conocer el alcance real de la brecha y su origen; si la investigación confirma la intervención de un proveedor tecnológico, el caso pasaría de incidente aislado a un ejemplo más del riesgo de la cadena de suministro en las reservas hoteleras.

Más información | Phishing a huéspedes con datos reales de reservas (INCIBE)