Reservas un apartamento para pasar un fin de semana. Todo parece normal: recibes la confirmación y guardas las fechas. Un rato después llega un mensaje del alojamiento. Conoce tu nombre, la reserva y cuánto has pagado. Dice que debes verificar la tarjeta o perderás la habitación. El mensaje puede ser una estafa aunque incluya datos correctos.
El 21 de octubre de 2026, la Comisión Europea abrió una investigación formal sobre Booking.com. Quiere averiguar si la plataforma ha hecho lo suficiente contra los alojamientos falsos, los mensajes fraudulentos y los resultados promocionados que podrían no identificarse claramente como publicidad. Todavía no hay una sanción ni una resolución que declare culpable a la empresa.
La noticia encaja en lo que seguimos desde Sal de la Matrix: servicios que parecen resolvernos la vida y que, cuando algo falla, nos obligan a averiguar quién responde. Aquí el problema no es una contraseña abstracta. Puede ser el dinero de tus vacaciones, tus datos bancarios y una habitación que quizá ni exista.
Por qué Bruselas investiga a Booking.com
La investigación se desarrolla bajo la Ley de Servicios Digitales de la Unión Europea, conocida como DSA. La norma obliga a las grandes plataformas a evaluar y reducir riesgos que afectan a sus usuarios. La Comisión sospecha que las medidas de Booking.com podrían ser insuficientes y ha señalado tres asuntos concretos.
1. Alojamientos que pueden no existir
El primer frente son los anuncios fraudulentos: apartamentos inventados, suplantaciones de establecimientos y ofertas que incumplen las reglas. Una fotografía bonita, una ubicación apetecible y un precio razonable pueden bastar para que alguien pague. Si detrás no hay alojamiento, el viaje empieza con una maleta y termina con una reclamación.
Bruselas examinará cómo identifica Booking estos riesgos y qué hace para retirar anuncios sospechosos. Que la Comisión investigue no significa que todas las ofertas sean peligrosas ni que se haya demostrado un incumplimiento. La cuestión es si una plataforma de este tamaño dispone de controles proporcionados al daño que pueden causar las estafas.
2. Mensajes fraudulentos que conocen tu reserva
Este es el apartado más inquietante para quien viaja. La Comisión analizará cómo se comparten los datos de reservas y huéspedes con los alojamientos, y cómo funciona el sistema de mensajería. Quiere comprobar si existen suficientes barreras para impedir que esa información se utilice para enviar enlaces falsos y exigir pagos.
El problema tiene una explicación documentada en España. En febrero, la Agencia de Ciberseguridad de Cataluña alertó de delincuentes que robaban credenciales de establecimientos, entraban en sus cuentas de gestión de Booking y escribían a clientes con reservas reales. En ocasiones, el engaño llegaba por el propio chat de la plataforma.
Eso no demuestra que se haya filtrado toda la base de datos de Booking.com. Una cuenta de alojamiento comprometida puede permitir acceder a determinadas reservas sin que exista una intrusión general en los sistemas centrales. Conviene distinguir ambas situaciones, porque la diferencia técnica también afecta a quién debe reforzar su seguridad.
3. Hoteles que pagan por aparecer más arriba
El tercer frente apenas tiene que ver con los ciberdelincuentes, pero dice mucho sobre cómo compramos. Según la Comisión, los alojamientos pueden mejorar su visibilidad pagando una comisión mayor. Bruselas quiere determinar si esos resultados aparecen identificados con suficiente claridad como publicidad.
Cuando buscas un hotel, es fácil interpretar que el primero de la lista es el mejor situado, el más conveniente o el que mejor encaja contigo. Sin embargo, la posición también puede depender de acuerdos comerciales. Ya analizamos algo parecido en nuestra entrada sobre cómo los algoritmos deciden qué aparece primero: el orden de una pantalla influye en nuestras decisiones, aunque pocas veces pensemos en quién lo ha diseñado.
La estafa más convincente empieza con información auténtica
Imagina que tienes una reserva en Valencia del viernes al domingo. El supuesto alojamiento te escribe: «Hay un problema con el cobro; confirma la tarjeta en las próximas dos horas». Incluye las fechas correctas y quizá el número de reserva. Todo encaja, salvo el enlace al que quiere llevarte.
La Agencia catalana volvió a advertir en agosto de mensajes enviados por WhatsApp que utilizaban datos auténticos de estancias. También podían llegar por correo o teléfono. Conocer tu reserva no convierte al remitente en el hotel. Ese es precisamente el truco que hace creíble el fraude.
La trampa suele apoyarse en la prisa. Si no pagas inmediatamente, te cancelan la habitación. Si no verificas la tarjeta, perderás la oferta. Un viaje ya tiene suficientes gastos como para añadir una transferencia de pánico. Por eso merece la pena desconfiar cuando alguien intenta cambiar las condiciones de pago a última hora.
El mecanismo se parece al que explicamos al hablar de la futura IA catalana para detectar estafas por WhatsApp. Los delincuentes mezclan información verdadera con una instrucción falsa. La tecnología puede ayudar a reconocer patrones, pero la primera defensa sigue siendo comprobar por otra vía.
¿Qué dice Booking.com sobre la investigación?
La compañía rechaza la idea de que permanezca pasiva ante el fraude. En declaraciones recogidas por Reuters el 21 de octubre, afirmó que está cooperando plenamente con la Comisión y que la seguridad, la confianza y la protección de los datos personales son prioridades de la empresa. También asegura colaborar con gobiernos, autoridades policiales y socios del sector.
En sus consejos oficiales para viajeros, Booking reconoce la existencia de intentos de phishing que imitan a alojamientos y utilizan información convincente sobre la estancia. Recomienda revisar la confirmación de la reserva y consultar a Atención al cliente si aparece una petición urgente de pago.
Son medidas que pueden ayudar. Lo que Bruselas quiere averiguar es si resultan suficientes para una plataforma con millones de usuarios y anuncios. Una cosa es aconsejar prudencia al cliente y otra conseguir que los delincuentes tengan menos oportunidades de utilizar el servicio.
¿Puede la UE multar a Booking por estas estafas?
Si se demuestra un incumplimiento de la Ley de Servicios Digitales, la Comisión puede imponer sanciones de hasta el 6 % de la facturación mundial anual, según las condiciones de la normativa. Es un máximo legal, no una multa anunciada ni una cantidad que ya deba pagar Booking.
El procedimiento puede incluir nuevas solicitudes de información, entrevistas, inspecciones y medidas provisionales. También cabe que la empresa presente compromisos para corregir los problemas. No hay una fecha pública de resolución definitiva. La investigación comenzó tras revisar informes de riesgos y respuestas que Booking había enviado en años anteriores.
Lo interesante es que la UE no está examinando únicamente si se borró un anuncio concreto después de una queja. Está preguntando cómo se organiza la prevención del fraude dentro de la plataforma. Si el sistema permite repetir el mismo engaño una y otra vez, retirar cada copia cuando alguien protesta puede llegar demasiado tarde.
Cómo evitar una estafa en Booking si reservas desde España
Comprueba las condiciones antes de pagar otra vez
Abre tú mismo la aplicación o la web oficial de Booking y revisa el apartado de pagos de tu confirmación. Si el alojamiento exige de repente una transferencia distinta o te manda a una página externa para «validar» la tarjeta, detén la operación y consulta primero con Atención al cliente. Booking afirma que nunca te pedirá datos de tarjeta por WhatsApp, SMS, correo o teléfono.
Desconfía incluso de un mensaje dentro de la plataforma
La recomendación puede sonar incómoda, pero está respaldada por las alertas de ciberseguridad: una cuenta legítima de alojamiento también puede ser comprometida. Si recibes una petición extraña, llama al establecimiento mediante el teléfono de su web oficial. Evita utilizar el número o el enlace incluidos en el mensaje sospechoso.
Si ya has pagado, actúa cuanto antes
Contacta inmediatamente con tu banco para bloquear la tarjeta si procede y preguntar por las opciones de reclamación del cargo. Guarda capturas, mensajes, enlaces, justificantes y el identificador de la reserva. Comunica lo ocurrido a Booking por sus canales oficiales y presenta denuncia ante las autoridades si has sufrido un fraude.
En España también puedes pedir orientación gratuita al 017 del INCIBE. Y, si te preocupa qué información personal ha podido quedar expuesta, conviene recordar lo que vimos en el artículo sobre los datos que circulan entre una aplicación y sus proveedores: una reserva implica compartir información con más de un actor.
¿Quién tiene que proteger al viajero?
El hotel debe custodiar sus credenciales. La plataforma debe diseñar sistemas de prevención y respuesta adecuados. Y el viajero puede comprobar pagos y remitentes, pero difícilmente puede auditar qué ocurre detrás de un chat que parece oficial. Repartir responsabilidades no debería convertirse en repartir excusas.
La investigación europea pone el foco precisamente en esa asimetría. Booking sabe cómo se ordenan sus resultados, qué controles aplica a los anuncios y qué señales detecta cuando hay fraude. El usuario solo ve una habitación, unas estrellas y un botón de reservar.
Si la plataforma cobra por facilitar la reserva, es razonable pedirle explicaciones sobre los riesgos que también facilita. Porque hay algo especialmente irritante en llegar a un alojamiento inexistente: que el único servicio que haya funcionado a la perfección sea el cobro.
