Cómo saber si tu reserva de hotel o tu vuelo es falso

Actualizado el 1 de octubre de 2026 · cada dato, con su fuente

El fraude en reservas ya no se parece a un correo mal escrito. Te llega un WhatsApp con el nombre real de tu hotel, tus fechas reales y tu número de reserva real, pidiéndote que confirmes el pago antes de que se cancele. Eso es exactamente lo que INCIBE describió en su aviso del 31 de julio de 2026. Y funciona porque los datos son auténticos: lo falso es quien los usa.

Esta guía no te va a decir si tu reserva es verdadera. Nadie puede decírtelo desde fuera, y quien te lo prometa te está vendiendo algo. Lo que sí te damos es lo que usamos nosotros: las señales de alerta comprobables, el método para verificarlas por tu cuenta en diez minutos, y qué hacer si ya has pagado — con el plazo real y su fuente.

Antes de nada: lo que no vamos a hacer

Lo decimos aquí arriba y no en la letra pequeña porque es la diferencia entre una auditoría y un sello de confianza. Nosotros no vendemos sellos.

Las señales de alerta, una por una

Todas son comprobables: no dependen de tu intuición, sino de algo que puedes mirar. Las hemos ordenado de la más frecuente a la más sutil.

El mensaje con tus datos reales

Es la variante que más ha crecido y la más difícil de detectar, porque el mensaje acierta en todo. INCIBE describe la mecánica: suplantan al alojamiento por WhatsApp (y por correo o teléfono) incluyendo nombre del hotel, fechas y número de reserva reales para dar credibilidad, y crean urgencia sugiriendo que la reserva se cancelará si no completas el proceso de inmediato. El enlace lleva a una página falsa que busca «información personal, datos de pago u otra información sensible».

Fuente: INCIBE, aviso de ciudadanía de 31 de julio de 2026 · «Suplantan a hoteles a través de WhatsApp y otros medios para solicitar la confirmación de reservas mediante enlaces fraudulentos»

Las señales que da INCIBE para este caso son las tres que puedes comprobar sin saber nada de informática: el teléfono no coincide con los contactos oficiales del hotel, el dominio del enlace no corresponde a los canales oficiales, y te piden datos personales, credenciales o bancarios para «confirmar».

De dónde salen tus datos reales: la prensa informó en abril de 2026 de que Booking.com confirmó un acceso no autorizado a datos de clientes (nombres, correos, direcciones y teléfonos), sin publicar el número de afectados. No hemos localizado un comunicado oficial de la compañía ni de la autoridad de protección de datos, así que lo damos como información de prensa, y la relación entre esa filtración y los mensajes que recibes es plausible pero no verificada. Lo que sí está en fuente oficial es que los mensajes llevan datos reales.

Fuente de prensa: Infobae, 15 abr 2026 · ComputerWeekly en español (prensa, no oficial)

El alojamiento que no existe

La otra mitad del problema no es un mensaje: es un anuncio. INCIBE lo clasifica como «anuncios falsos o duplicados de alquileres vacacionales» que roban fotografías y piden señales o fianzas, y lo acompaña de las señales clásicas: precios excesivamente bajos, presión temporal para decidir rápido, ausencia de reseñas o perfiles sospechosos, «solicitudes de pago por canales no oficiales», errores ortográficos o deficiencias en el diseño, y enlaces externos hacia formularios de datos sensibles.

Fuente: INCIBE, blog de ciudadanía, 20 de agosto de 2025 · «Vacaciones ciberseguras: estafas en apps vacacionales»

La OCU, en su nota de prensa del 6 de julio de 2026, ordena los cinco fraudes que más se repiten al reservar: alquiler vacacional fantasma (fotos robadas y descuentos engañosos), plataforma de reservas clonada que imita a Booking o Airbnb, suplantación de una reserva real con datos filtrados del cliente, billete gratuito a cambio de una encuesta con enlaces maliciosos y multas de tráfico falsas que suplantan a la DGT. Y añade un detalle operativo que explica por qué cuela: el riesgo aumenta con el móvil, porque la pantalla pequeña dificulta comprobar la URL.

Fuente: OCU, nota de prensa de 6 de julio de 2026 · ocu.org

Lo que pide un proveedor real y lo que pide un estafador

Puesto en paralelo se ve mejor. No es una lista exhaustiva ni un test: es el contraste que conviene tener en la cabeza cuando llega el mensaje.

Elaboración de TripAuditor a partir de las señales publicadas por INCIBE (31 jul 2026), INCIBE (20 ago 2025), OCU (6 jul 2026) y el centro de ayuda de Airbnb. La columna de la derecha describe señales, no un diagnóstico.

Cómo comprobarlo de verdad, paso a paso

Esta es la parte que casi nadie escribe, y la que de verdad cambia el resultado. La regla que lo gobierna todo: nunca compruebes una reserva desde el mensaje que te hace dudar. Sal de él y entra por tu cuenta.

1. Llama al alojamiento, al teléfono de su web oficial

No al del correo, ni al del WhatsApp, ni al que te dieron por teléfono. Busca el alojamiento tú, abre su web, coge ese número y pregunta si existe una reserva a tu nombre para esas fechas. Es, literalmente, lo que recomienda INCIBE: comprobar el estado de la reserva «utilizando los canales oficiales del hotel accediendo directamente a su página web o aplicación». Y añade algo que conviene cumplir: no accedas al enlace, no facilites ningún dato y no continúes la conversación con el remitente.

Fuente: INCIBE, aviso de 31 de julio de 2026

2. Mete el localizador en la web de la aerolínea

Escribe tú la dirección de la aerolínea que opera el vuelo (no la de la agencia que te lo vendió) en el navegador, ve a su apartado de gestión de reservas e introduce el localizador con tu apellido. Tiene que aparecer tu nombre, tus fechas y tu trayecto. Si el localizador no existe, va a otro nombre o no coincide, tienes una señal de alerta de primer orden.

Si compraste a través de una agencia, ojo con un punto que confunde: algunas agencias emiten su propio número de expediente, que no es el localizador de la aerolínea. Pídeles el localizador de la compañía y compruébalo allí. Que una agencia tarde en darlo no prueba nada por sí solo, pero que no lo dé nunca sí es una señal.

3. Mira a nombre de quién se hizo el cobro

En el movimiento de tu banco o en el justificante del Bizum. Un alojamiento o una aerolínea cobran como empresa. Si el beneficiario es un particular, o una sociedad que no tiene relación con el alojamiento, es la señal más dura de todas — y la que la OCU y las plataformas sitúan en el centro. Airbnb lo dice en su propio centro de ayuda: su política «no permite que los anfitriones te pidan que reserves fuera de nuestra plataforma», pagar fuera te deja sin la protección de AirCover, y «si abonas el pago mediante un giro o una transferencia bancaria, la reserva podría ser una estafa».

Fuente: Centro de ayuda de Airbnb, artículo 209

4. Verifica el dominio, carácter a carácter

Lee el dominio de derecha a izquierda, desde la última palabra antes de la primera barra: eso es quien manda. Un booking.com.confirmar-reserva.net no es Booking, es confirmar-reserva.net. Y no te fíes de que la página se vea bien: INCIBE documentó una campaña que suplantaba a Booking usando la técnica Browser in the Browser, que dibuja una ventana de inicio de sesión falsa dentro de la propia página — con su barra de direcciones pintada, incluida.

Fuente: INCIBE, aviso de empresas de 8 de marzo de 2023

En el móvil, donde según la OCU el riesgo es mayor porque la pantalla dificulta ver la URL completa, el atajo es no pulsar enlaces: abre la app oficial, o escribe la dirección a mano.

5. Cruza el mensaje contra tu reserva de verdad

INCIBE propone un contraste sencillo y eficaz: comparar los detalles del mensaje — nombre del alojamiento, precio, ubicación — con la reserva que tú tienes. Los mensajes con datos filtrados suelen acertar en lo que estaba en la filtración y fallar en lo que no: el importe exacto, un extra que añadiste, el nombre del segundo ocupante.

6. Comprueba que el alojamiento existe donde dice existir

Busca la dirección en un mapa y en vista de calle, busca el nombre del establecimiento por separado y mira si tiene presencia propia — web, teléfono, reseñas con histórico. Las fotos robadas se detectan con una búsqueda inversa de imagen: si la misma foto aparece en otros cinco anuncios de otras tres ciudades, ya sabes.

Qué hacer si ya has pagado

Aquí el orden importa, porque hay un reloj corriendo. Primero el banco, después la denuncia, y en paralelo la plataforma.

Primero: tu banco, ya

Llama a tu entidad y comunica la operación como no autorizada. Dos datos que conviene saber antes de la llamada, los dos del Banco de España:

• Tienes trece meses para reclamar: el Portal del Cliente Bancario lo dice así, «tengas 13 meses para hacer la reclamación desde la fecha del adeudo».
• La devolución es rápida cuando procede: la entidad debe «devolver el importe de las operaciones que considere como no autorizadas al final del siguiente día hábil al de la comunicación realizada».

Fuente: Banco de España, Portal del Cliente Bancario, artículo de 15 de febrero de 2022 · «Pagos con tu tarjeta que tú no has autorizado»

El pero, y es grande. El propio Banco de España advierte de que las entidades no están obligadas a devolver cuando consideren que los cargos derivan de «una actuación fraudulenta del titular de la tarjeta o de negligencia grave de sus obligaciones», y señala que cuando el titular ha entregado voluntariamente sus claves de seguridad a un tercero por un engaño, las entidades suelen considerar esos cargos «formalmente autorizados». Es decir: justo el escenario del phishing de reservas es el que más se discute. No es que no se pueda reclamar — es que no es automático, y hay jurisprudencia en ambos sentidos.

Dos matices más, por precisión. En pérdida o robo de tarjeta, de las operaciones anteriores a tu comunicación respondes hasta 50 €, según la guía del Banco de España. Y si pagaste por transferencia o Bizum en lugar de con tarjeta, estás en otro terreno: la operación la autorizaste tú, y recuperar el dinero depende de que el banco pueda retenerlo antes de que se mueva. De ahí la prisa.

Fuente de la franquicia de 50 €: Banco de España, Cliente Bancario, «Uso fraudulento». El marco legal es el Real Decreto-ley 19/2018 de servicios de pago (BOE): su índice recoge el art. 43 («Notificación y rectificación de operaciones de pago no autorizadas o ejecutadas incorrectamente») y el art. 45 («Responsabilidad del proveedor de servicios de pago en caso de operaciones de pago no autorizadas»). No verificado: no hemos podido leer el texto íntegro de esos artículos en el BOE desde aquí; los plazos que damos están verificados en la fuente del Banco de España.

Después: denuncia

La Guardia Civil admite la denuncia electrónica, y «estafas y cargos fraudulentos por medios informáticos» está expresamente entre los hechos que se pueden denunciar así. Su portal oficial dice que «el proceso es completamente online y no necesita ratificación posterior en las dependencias oficiales de la Guardia Civil», y que está disponible 24 horas, los 7 días.

Pero hay exclusiones que te pueden afectar: no se pueden denunciar por vía telemática los hechos con violencia o intimidación, con autor conocido, con testigos, con menores de edad como denunciantes, ni los delitos flagrantes. Si tienes el nombre y la cuenta del estafador, «autor conocido» puede sacarte de la vía online y mandarte al cuartel o a la comisaría. No es un problema: es ir presencialmente con las pruebas.

Fuente: Guardia Civil, «Denuncia electrónica»

La Policía Nacional tiene su propia Oficina Virtual de Denuncias. No verificado: no hemos podido consultar hoy, en la fuente oficial, qué delitos admite exactamente ni si exige ratificación presencial y en qué plazo. Antes de contarlo como hecho, confírmalo en el propio portal o llamando al 091.

Lleves la denuncia por donde la lleves, guarda las pruebas antes de borrar nada: el anuncio completo con capturas y su URL, toda la conversación, el justificante del pago con el beneficiario visible, el correo de confirmación con sus cabeceras si lo tienes, y el teléfono o perfil desde el que te contactaron.

En paralelo: la plataforma y el 017

Si la reserva se originó en una plataforma, repórtalo allí: es lo que piden Airbnb y las demás, y en algunos casos abre vías de cobertura propias. Y para la parte técnica y psicológica, INCIBE tiene la línea 017: es el servicio «nacional, gratuito, confidencial y personalizado», de 8 de la mañana a 11 de la noche, 365 días al año, con asesoramiento técnico, psicosocial y legal. También por WhatsApp (900 116 117) y Telegram (@INCIBE017).

Fuente: INCIBE, «Tu Ayuda en Ciberseguridad (017)»

Las cifras: lo que hay y lo que no hay

Esto es lo que se puede afirmar con fuente oficial, y nos parece importante decir también dónde se acaba el dato.

El Ministerio del Interior publicó que en 2025 se registraron en España 488.426 ciberdelitos, el 19,8 % de toda la criminalidad del país, y que de ellos 429.677 (el 87,9 %) fueron estafas informáticas. Las Fuerzas y Cuerpos de Seguridad detuvieron o investigaron a 19.876 personas, un 2,9 % más que el periodo anterior.

Fuente: Gobierno de España, nota de prensa del Ministerio del Interior de 10 de julio de 2026 · lamoncloa.gob.es

Lo que no existe: no hemos encontrado ninguna cifra oficial española que aísle el fraude en reservas de viaje dentro de esas estafas informáticas — ni número de casos, ni importe, ni evolución. El balance de criminalidad no desglosa por sector. Así que cualquier titular del tipo «las estafas en reservas suben un X %» que te encuentres no sale de una estadística oficial, y nosotros no vamos a inventar una para rellenar este hueco.

Y una cifra que circula, con su matiz: la OCU afirma en su nota del 6 de julio de 2026 que las pérdidas por fraudes electrónicos rondan los 500 millones de euros anuales, atribuyéndolo al Banco de España. No lo hemos podido verificar en una publicación del Banco de España, así que lo damos como lo que es: un dato de la OCU citando a un tercero, no un dato de fuente primaria.

Lo que solemos cazar

El fraude es el extremo del problema, pero no es lo más frecuente. En las auditorías, lo que más dinero mueve no es una reserva falsa: es una reserva real con condiciones que nadie leyó. Y las dos cosas se comprueban en el mismo rato, porque se miran en los mismos documentos.

Un ejemplo de por qué van juntos: cuando compruebas a nombre de quién va el cobro de cada reserva — el paso 3 de arriba — también descubres cuándo se cobra. En un viaje que auditamos apareció un cargo automático cinco días antes de la salida en una reserva que el cliente creía pagadera en destino. Ni rastro de fraude; un descuadre de tesorería evitable con la misma mirada.

Preguntas que nos hacen

¿Podéis decirme si mi reserva es falsa?

No, y desconfía de quien diga que sí. Lo que hacemos es pasar tus reservas por este método y entregarte el resultado con el mismo semáforo que el resto de la auditoría: en rojo lo que es una señal de alerta, en ámbar lo que tienes que confirmar tú con el proveedor, y en verde lo que hemos podido comprobar en la fuente — que no es lo mismo que «es auténtica».

Me escriben desde el chat de la plataforma, ¿eso lo valida?

No por sí solo. Las campañas documentadas por INCIBE incluyen la suplantación del alojamiento por varios canales, y una cuenta de anfitrión comprometida escribe desde dentro del chat legítimo. La prueba sigue siendo la misma: el pago no sale de la plataforma, y el teléfono se busca en la web oficial.

Pagué con tarjeta, ¿estoy cubierto?

Estás mejor que con una transferencia, pero no automáticamente cubierto. Ya lo has leído más arriba: el Banco de España reconoce el plazo de trece meses y la devolución al siguiente día hábil, y también que las entidades suelen tratar como «formalmente autorizados» los cargos en los que el titular entregó sus claves por un engaño. Reclama igualmente, por escrito, y guarda todo.

¿Y si el viaje es en tres días?

Entonces el orden cambia: llama primero al alojamiento y a la aerolínea por sus canales oficiales para saber si tienes plaza, y en paralelo al banco. Con el viaje encima, lo urgente es saber si duermes en algún sitio, y luego ya se pelea el dinero.