Inicio · Blog · Canales y software

Estafas a anfitriones y hoteles en Booking.com y Airbnb en 2026: phishing de la extranet, falsos huéspedes, pagos fuera de la plataforma y cómo protegerte

Dmitrij Sitki · ingeniero jefe de ReceptionGO
Publicado el 29 de octubre de 2026 · 5 min de lectura

Las estafas que más golpean a los anfitriones en 2026 son el phishing de la extranet de Booking, que roba tu acceso para escribir a tus huéspedes, los pagos fuera de la plataforma, el timo del sobrepago y las tarjetas robadas. La defensa: verificación en dos pasos, entrar siempre desde la web oficial y no dar el código sin pago e identificación.

Prueba ReceptionGO 30 días gratis, sin tarjeta. →

El 13 de abril de 2026 Booking.com reconoció un acceso no autorizado a datos de reservas de algunos usuarios: nombres, correos, teléfonos y detalles de la estancia, sin datos de tarjetas según la empresa. En los meses siguientes, INCIBE y la Guardia Civil avisaron de mensajes que se hacían pasar por hoteles y usaban datos reales de la reserva para pedir pagos. Para un anfitrión, el riesgo es doble: que te roben a ti y que estafen a tus huéspedes en tu nombre.

Las seis estafas más frecuentes

Cómo funciona el phishing de la extranet

Diez medidas que funcionan

1. Verificación en dos pasos en la extranet de Booking, en Airbnb y en el correo del alojamiento.
2. Entra siempre desde la dirección oficial escrita a mano o desde la app, nunca desde un enlace de un correo.
3. Un usuario por persona en la extranet, con los permisos justos; borra los de quien ya no trabaja contigo.
4. Nada de instalar programas ni pegar comandos que pida un «huésped» o una web de «verificación».
5. Avisa a tus huéspedes en el mensaje de confirmación: «nunca te pediremos la tarjeta por WhatsApp ni por un enlace fuera de la reserva». Tienes el texto en las plantillas de mensajes.
6. Cobra solo por canales conocidos: la plataforma o tu pasarela de pago, con autenticación reforzada (3-D Secure).
7. Nunca devuelvas sobrepagos por otra vía: si alguien paga de más, se anula ese pago y punto.
8. Identifica al huésped antes de la llegada: el documento lo pide la ley para el parte de viajeros, y de paso confirma que es quien reservó.
9. Código solo con pago y registro completos.
10. Guarda pruebas de todo en el chat de la reserva, no en el móvil personal.

Reservas directas y contracargos

En una reserva directa, el riesgo es la tarjeta robada: el titular real reclama al banco semanas después y pierdes el importe aunque el huésped ya se haya ido. Lo que más ayuda ante un contracargo:

• pago con autenticación reforzada, que en Europa traslada buena parte del riesgo al banco emisor;
• identidad del huésped coincidente con la del titular, o una explicación si no coincide;
• condiciones aceptadas en la reserva y registro de llegada y salida.

Qué datos de pago puedes guardar y cuáles no, en DNI, datos de pago y RGPD.

Fiestas y reservas que no cuadran

No todas las estafas buscan dinero. Una reserva de una noche de sábado para un grupo de veinteañeros con perfil recién creado, o el «somos dos» que luego son diez, acaban en daños y quejas de los vecinos. Fija en tus normas el número máximo de personas y la prohibición de fiestas, haz que se acepten en el check-in y revisa quién entra realmente. Si aun así hay daños, en fianza y daños del huésped explicamos cómo reclamar.

Si ya ha pasado

1. Cambia contraseñas y activa la verificación en dos pasos.
2. Revisa usuarios, datos bancarios y mensajes enviados en la extranet.
3. Avisa a la plataforma y a los huéspedes con reservas próximas.
4. Denuncia en la Policía Nacional o la Guardia Civil; para orientación, llama al 017 de INCIBE.
5. Si hay datos personales afectados, valora con tu asesor la notificación a la AEPD en 72 horas que exige el RGPD.