Publicado el · Hoteles en todo el mundo
Los correos falsos de Booking.com que hacen pegar un comando en recepción
Una reseña negativa, la pregunta de un huésped, una revisión de la cuenta: parecen mensajes de Booking.com, pero no lo son. Microsoft siguió esta campaña desde diciembre de 2024: lleva a quien trabaja en recepción a pegar él mismo, en el ordenador, el comando que instala el programa que roba las contraseñas.
En 30 segundos
- Correos falsos a nombre de Booking.com llegan a recepción con reseñas negativas o preguntas de huéspedes.
- El enlace lleva a un falso «no soy un robot» que pide pegar un comando en el ordenador.
- La regla para todos: ninguna web real pide pegar comandos.
- Cuándo
- Desde diciembre de 2024, activa aún en febrero de 2025
- A quién
- Hoteles y agencias de viajes que usan Booking
- Por dónde entran
- Correo y verificación falsa (ClickFix)
- Qué buscan
- Contraseñas, cuenta de Booking, pagos de huéspedes
Qué pasó
En marzo de 2025 Microsoft describió una campaña de phishing que suplanta a Booking.com, iniciada en diciembre de 2024 y todavía activa en febrero de 2025. Los correos llegan a quienes trabajan en hoteles y agencias de viajes que usan Booking: hablan de reseñas negativas, de peticiones de huéspedes, de verificaciones de la cuenta.
Microsoft llama Storm-1865 al grupo detrás de la campaña y lo relaciona con robos de datos de pago y cargos fraudulentos.
Por dónde entraron
Aquí la vía de entrada es conocida, y es lo que hay que enseñar a todo el personal. El enlace del correo lleva a una página que parece una verificación normal de «no soy un robot». Para pasarla, la página pide abrir una ventana de Windows y pegar un texto que ella misma ya copió. Ese texto es un comando: descarga y ejecuta programas que roban contraseñas y dan el control del ordenador a distancia.
La técnica se llama ClickFix. Funciona porque el paso peligroso lo da la persona, no el programa: por eso muchas defensas automáticas no lo detectan.
Qué pueden hacer después
Con las contraseñas sacadas del ordenador de recepción, los delincuentes van a por la cuenta de Booking del alojamiento y, desde ahí, a los datos y pagos de los huéspedes. Booking.com dijo que sus sistemas no fueron vulnerados: el punto débil es el ordenador del alojamiento.
Qué revisar hoy en tu empresa
- Explica a toda la recepción una sola regla: ninguna web real pide pegar comandos en el ordenador. Si pasa, se cierra la página y se avisa.
- Los mensajes de Booking se leen dentro de la extranet, entrando desde tu marcador, nunca desde los enlaces del correo.
- Activa la verificación en dos pasos en la cuenta de Booking y en el correo del alojamiento.
- El ordenador de recepción no debe tener permisos de administrador: así muchos programas no consiguen instalarse.