Phishing navideño: ataques masivos a hoteles y viajeros

¿Qué ha ocurrido?

Según un informe de TechRadar citado por TheVortiq, los ciberdelincuentes han intensificado sus campañas de phishing durante la temporada navideña, especialmente dirigidas al sector hotelero y de viajes. Las empresas de hostelería reciben ahora más de 2.000 ataques de phishing cada semana, mientras que los consumidores son engañados con sitios web de alojamiento falsos que imitan a plataformas legítimas. Este fenómeno no es nuevo, pero la escala actual es sin precedentes: durante la pandemia de COVID-19, los ataques de phishing aumentaron un 600% según datos de la OMS, pero las campañas navideñas de 2023-2024 ya superan esos niveles en el sector turístico. Los atacantes utilizan técnicas de ingeniería social más sofisticadas, como correos que simulan ser de Booking.com o Airbnb, con logos y diseños idénticos, y enlaces que redirigen a páginas fraudulentas que roban datos de tarjetas de crédito.

¿Por qué es importante?

El phishing navideño no es nuevo, pero la escala actual es sin precedentes. Los atacantes aprovechan el aumento de reservas y compras online para enviar correos y mensajes fraudulentos que parecen urgentes o irresistibles. Las consecuencias incluyen robo de identidad, pérdidas financieras y daño a la reputación de las marcas suplantadas. Para las empresas hoteleras, cada ataque exitoso puede traducirse en filtraciones de datos de huéspedes y cargos fraudulentos. Un estudio de IBM Security de 2023 reveló que el costo promedio de una filtración de datos en el sector hotelero es de 3,9 millones de dólares, un 12% más que el promedio global. Además, el 60% de las pequeñas empresas que sufren un ciberataque cierran en los seis meses siguientes, según la Agencia de Ciberseguridad de la Unión Europea (ENISA). La urgencia es aún mayor porque los ataques de phishing durante las vacaciones suelen pasar desapercibidos hasta que es demasiado tarde.

Consecuencias para el sector

• Pérdida de confianza del consumidor en las plataformas de reserva online: una encuesta de PwC de 2023 indica que el 87% de los consumidores dejarían de usar una plataforma si sufriera una filtración de datos.
• Costes de ciberseguridad adicionales para las empresas: según Gartner, el gasto mundial en seguridad informática alcanzará los 215 mil millones de dólares en 2024, un 14% más que el año anterior, y el sector hotelero es uno de los que más invierte.
• Posibles multas por incumplimiento de normativas de protección de datos (GDPR, etc.): bajo el GDPR, las multas pueden alcanzar el 4% de los ingresos anuales globales. Por ejemplo, en 2022, la cadena hotelera Marriott fue multada con 18,4 millones de libras por una filtración que afectó a 339 millones de huéspedes.
• Daño reputacional a largo plazo: una vez que una marca es suplantada, los consumidores pueden desconfiar incluso de sus comunicaciones legítimas, lo que afecta las ventas futuras.

Qué deben saber los lectores

Los usuarios deben verificar siempre la URL de los sitios de reserva, desconfiar de ofertas demasiado buenas y no hacer clic en enlaces de correos no solicitados. Las empresas, por su parte, deben implementar autenticación multifactor y formación continua para empleados. La prevención es clave: el 90% de los ciberataques comienzan con un correo de phishing, según el informe de Verizon Data Breach Investigations de 2023. Además, las herramientas de inteligencia artificial generativa están siendo utilizadas tanto por atacantes (para crear correos más convincentes) como por defensores (para detectar anomalías en tiempo real). Por ejemplo, Google lanzó en noviembre de 2023 su modelo Gemini para ayudar a identificar correos fraudulentos. Los hoteles también deberían considerar la implementación de DMARC (Domain-based Message Authentication, Reporting and Conformance) para evitar que sus dominios sean suplantados. Finalmente, los consumidores pueden utilizar tarjetas de crédito virtuales o servicios como PayPal para añadir una capa extra de protección en sus reservas.

"La temporada navideña es un campo fértil para el phishing, con millones de transacciones apresuradas. La concienciación y la tecnología son nuestras mejores defensas." — TheVortiq