Ataques reales, explicados a quien tiene una empresa
Cada artículo cuenta un ataque informático que ocurrió de verdad: por dónde entraron, cuánto costó y qué puedes revisar hoy para que no te pase a ti. Solo hechos, con las fuentes al final.
Documentos de identidad robados a hoteles italianos: qué pasó y qué cambia en la recepción
· Italia
Entre junio y julio de 2025 alguien entró en los sistemas de varios hoteles italianos y se llevó los escaneos de los documentos tomados en el check-in. En agosto los puso a la venta. La autoridad italiana de protección de datos abrió una investigación y luego aclaró algo que muchos alojamientos no saben: esas copias no había que guardarlas.
Los correos falsos de Booking.com que hacen pegar un comando en recepción
· Hoteles en todo el mundo
Una reseña negativa, la pregunta de un huésped, una revisión de la cuenta: parecen mensajes de Booking.com, pero no lo son. Microsoft siguió esta campaña desde diciembre de 2024: lleva a quien trabaja en recepción a pegar él mismo, en el ordenador, el comando que instala el programa que roba las contraseñas.
TeamSystem, robados los IBAN de los clientes: el riesgo real es el correo que cambia la cuenta bancaria
· Italia
Desde la tarde del 24 de agosto de 2026 alguien entró en Contabilità in Cloud, el programa de contabilidad de la empresa italiana TeamSystem, y se llevó los datos que los clientes habían cargado: datos personales, contactos e IBAN. El daño más probable ahora no es el robo en sí, sino los correos falsos que esos datos hacen creíbles.
Endesa: desde una cuenta interna salieron documentos e IBAN de los clientes
· España
En enero de 2026 Endesa y su marca Energía XXI confirmaron que alguien entró en su plataforma comercial. No por un fallo de la web: por cuentas internas, es decir, usuarios de quienes trabajan allí. Salieron datos de identidad, contactos, DNI e IBAN de los clientes.
Brasil: una contraseña vendida por 2.700 dólares y cientos de millones desaparecidos de los bancos
· Brasil
A finales de junio de 2025 unos delincuentes usaron el acceso de C&M Software, la empresa que conecta varios bancos brasileños con el sistema de pagos instantáneos PIX, para ordenar transferencias fraudulentas. No encontraron un fallo en el software: un empleado del departamento de informática había vendido su usuario y contraseña por unos 2.700 dólares.
Marks & Spencer: una contraseña restablecida con engaño y 46 días sin pedidos online
· Reino Unido
El 17 de abril de 2025 alguien se presentó como una de las 50.000 personas que trabajan con Marks & Spencer y convenció a un proveedor externo para restablecer la contraseña de un empleado. De ahí salió un ataque de ransomware: pedidos online parados 46 días y un daño que la propia empresa estima en unos 300 millones de libras.