Páginas falsas de reservas: cómo verificar antes de pagar tu viaje

Páginas falsas de reservas de viaje: cómo verificar que estás en el sitio real antes de pagar

Por Virginia Viadas

Antes de escribir los datos de tu tarjeta en cualquier página de reservas, revisa la barra de direcciones y cómo llegaste ahí. Ese es el consejo que reemplazó a todos los demás, porque los métodos viejos —buscar faltas de ortografía o diseños mal hechos— dejaron de funcionar. Hoy una página clonada puede ser visualmente idéntica a la original.

Con el Buen Fin arrancando el viernes 13 de noviembre y las reservas de diciembre abriéndose desde ahora, esta es la temporada en que más gente compra viajes en línea en México, y también cuando más operan los sitios fraudulentos. Aquí está cómo verificar en menos de un minuto, y qué hacer si ya diste tus datos.

Qué tan grande es el problema

Booking.com es la marca más suplantada del sector, con Airbnb en segundo lugar y bastante atrás, según el monitoreo de NordVPN. Marijus Briedis, director de tecnología de la empresa, explica la lógica del fraude en términos simples: los estafadores van a donde ya existe confianza, y Booking.com es uno de los primeros nombres que la gente busca al planear un viaje, por lo que es el que más vale la pena copiar.

Conviene señalar de dónde vienen estos números. NordVPN vende software de seguridad, así que sus cifras describen lo que detecta su propio producto y no una medición independiente del mercado. Los datos de Kaspersky, otra empresa del ramo, apuntan en la misma dirección con una metodología distinta, y el reporte de Which? proviene de una organización de consumidores sin producto que vender. Las tres coinciden en el fenómeno.

Por qué el consejo de siempre ya no sirve

Durante años la recomendación fue buscar señales evidentes: logotipos deformes, tipografías raras, errores de ortografía. Eso funcionaba cuando clonar un sitio requería tiempo y oficio.

Ya no. Con herramientas de generación automática, cualquier persona puede levantar una página de reservas visualmente idéntica a la original en cuestión de horas. NordVPN publicó capturas de sitios detectados por su equipo de investigación en los que, a simple vista, no hay nada que los delate.

La consecuencia práctica es importante: dejar de confiar en cómo se ve una página y empezar a verificar dónde estás realmente. La apariencia ya no es evidencia.

Los dos fraudes que la gente confunde

Casi toda la cobertura sobre este tema habla de uno solo. Son dos, y se previenen de forma distinta.

1. La página clonada. Llegas a un sitio que imita a Booking.com, Airbnb o una aerolínea. Pagas, no recibes confirmación, y el hotel no existe. Los delincuentes se quedan con el dinero y con los datos de tu tarjeta. Este se previene verificando el dominio.

2. El anuncio falso dentro de la plataforma real. Aquí el sitio es legítimo, pero el alojamiento no. En pruebas de la organización británica Which?, se logró publicar un alojamiento inexistente en menos de 15 minutos, sin verificar identidad ni documentos oficiales. El viajero paga en una plataforma real, recibe confirmación real, y descubre al llegar que la propiedad no existe o no está disponible.

Contra el segundo, verificar el dominio no te protege. Lo que sirve es revisar el historial de reseñas del anfitrión, desconfiar de perfiles nuevos sin evaluaciones, y nunca aceptar salir de la plataforma para pagar por transferencia o WhatsApp.

Verificación en 60 segundos, antes de pagar

1. Escribe la dirección tú mismo. Teclea la URL en el navegador o usa un marcador guardado. No entres desde links de correos, mensajes de texto, anuncios ni redes sociales, que es por donde llega la mayoría del tráfico a sitios falsos.
2. Lee el dominio completo, de derecha a izquierda. Los clones dependen de cambios mínimos: una palabra extra, un guion, una terminación distinta. booking-ofertas.com y booking.com.mx-reservas.net no son Booking.com.
3. Desconfía del precio, no lo persigas. Si un sitio ofrece un precio dramáticamente menor que todos los demás, es motivo para frenar, no para reservar más rápido. Es el patrón más consistente en todos los reportes.
4. Revisa cómo llegaste. Si el punto de partida fue un anuncio o un mensaje que no pediste, regresa al inicio y busca el sitio por tu cuenta.
5. Nunca salgas de la plataforma para pagar. Cualquier petición de transferencia bancaria, depósito o pago por app de mensajería es señal de fraude, aunque el anuncio esté en un sitio legítimo.
6. Usa contraseñas únicas y autenticación en dos pasos en tus cuentas de reservas y programas de lealtad. Las cuentas de viajero frecuente son un objetivo por sí mismas.

Si estás armando el presupuesto completo del viaje, no solo la reserva, te sirve nuestro desglose de cuánto cuesta viajar a Italia desde México en 2026, donde comparamos precios reales de vuelo y gasto diario.

Qué hacer si ya diste los datos de tu tarjeta

El orden importa, y las primeras horas son las que cuentan.

1. Llama a tu banco de inmediato y pide el bloqueo de la tarjeta. No esperes a ver si el cargo aparece.
2. Levanta la aclaración formal por el cargo no reconocido. Hazlo por el canal oficial del banco y guarda el número de folio.
3. Cambia las contraseñas de tu cuenta de reservas, de tu correo y de cualquier servicio donde uses la misma clave.
4. Si el banco no resuelve la aclaración, acude a la Condusef, que es la instancia que atiende quejas contra instituciones financieras en México.
5. Si el problema es con un comercio o plataforma, la vía es Profeco. Durante el Buen Fin, Profeco habilita un canal de quejas con atención prioritaria; en la edición 2025 procesó más de 18,400 quejas en menos de 72 horas.
6. Revisa tus estados de cuenta los meses siguientes. Muchos fraudes empiezan con cargos pequeños de prueba antes de escalar.

El mercado detrás del fraude

Una investigación conjunta de NordVPN y Saily documentó lo que ocurre con esos datos después. En la dark web se revenden reservas de Booking.com por alrededor de 250 dólares, una cuenta robada de viajero frecuente con cientos de miles de millas puede costar entre 0.75 y 200 dólares, y una cuenta hackeada de Airbnb ronda los 130 dólares.

Existe además una variante más elaborada. Ciertas "agencias de viajes" de la dark web compran vuelos y estadías reales usando tarjetas de crédito robadas y luego las revenden con descuentos del 40 al 60 por ciento. Operan por grupos de Telegram, publican listas, usan bots y acumulan reseñas positivas para construir reputación. Para el comprador la oferta parece legítima, pero el desenlace puede ser una reserva cancelada al llegar al destino, una investigación policial, o simplemente el silencio después del pago.

Vykintas Maknickas, director general de Saily, señala el otro lado de la operación: si los datos de tu tarjeta salieron en una filtración, pueden terminar pagando las vacaciones de otra persona. Muchos afectados se enteran solo cuando revisan sus estados de cuenta.

Preguntas frecuentes

¿Cómo sé si una página de reservas es falsa? Ya no por su apariencia. Verifica el dominio completo en la barra de direcciones, escribe la URL tú mismo en lugar de seguir links, y desconfía de precios muy por debajo del resto del mercado.

¿Qué marca de viajes suplantan más los estafadores? Booking.com, según el monitoreo de NordVPN, por encima de todas las demás plataformas del sector sumadas. Airbnb aparece en segundo lugar.

Si la reserva está en un sitio legítimo, ¿estoy protegido? No necesariamente. También existen anuncios fraudulentos publicados dentro de plataformas reales. Revisa el historial del anfitrión, evita perfiles sin reseñas y nunca pagues fuera de la plataforma.

¿Cuándo es el Buen Fin 2026? Arranca el viernes 13 de noviembre de 2026. Es el periodo del año con mayor volumen de compras en línea en México y, por lo tanto, de mayor actividad fraudulenta.

¿A dónde reporto un fraude de reserva en México? Primero a tu banco, para bloquear la tarjeta y levantar la aclaración. Si la institución financiera no resuelve, a la Condusef. Si la queja es contra el comercio o la plataforma, a Profeco.

¿Sirve de algo un VPN o un antivirus contra esto? Ayudan a bloquear sitios ya identificados como maliciosos, pero no sustituyen la verificación manual del dominio. Un sitio recién creado puede no estar todavía en ninguna lista de bloqueo.

Fuentes: NordVPN, estudio conjunto NordVPN y Saily, Kaspersky, Which?, Profeco y Condusef.