Iberostar alerta de un ciberataque: datos de reservas de clientes expuestos y correos fraudulentos en circulación

Iberostar ha alertado a sus clientes de un incidente de ciberseguridad que podría haber permitido el acceso no autorizado a información personal vinculada a las reservas de sus hoteles. La cadena comunicó el suceso a principios de noviembre de 2026 y avisó de que ya circulan correos fraudulentos que aprovechan los datos comprometidos para estafar a los huéspedes. Según la compañía, no se ha detectado acceso a números de identificación personal ni a información bancaria o de tarjetas de crédito.

La información fue recogida por medios especializados en turismo el 6 de noviembre de 2026. Iberostar no ha precisado cuántos clientes se han visto afectados ni la fecha exacta del acceso, pero sí ha detallado el tipo de datos expuestos y los riesgos para quienes reservaron en sus hoteles.

Qué datos quedaron expuestos

Entre los datos potencialmente expuestos figuran los nombres y apellidos de los huéspedes, sus direcciones de correo electrónico, las fechas de estancia y los establecimientos elegidos. Con esa información, un delincuente puede escribir un correo que parezca auténtico: conoce el nombre, el hotel y las fechas exactas de la reserva.

La compañía ha insistido en que, según sus comprobaciones, no se ha accedido a números de identificación personal ni a datos bancarios o de tarjetas de crédito. Esa distinción es importante porque limita el daño directo: nadie puede cargar un pago con la información expuesta. Pero no elimina el riesgo, porque el correo electrónico y los detalles de la reserva son la materia prima de las estafas de suplantación, conocidas como phishing.

Los expertos en ciberseguridad advierten de que los datos de reservas son especialmente valiosos: un correo que menciona el hotel, la fecha y el nombre correctos genera confianza inmediata. Por eso el aviso de Iberostar incluye una advertencia específica contra las estafas que ya circulan.

Los correos fraudulentos que ya circulan

Iberostar ha identificado el envío de correos electrónicos fraudulentos a algunos clientes en los que se les reclama dinero bajo el pretexto de confirmar sus reservas. Es el patrón clásico de este tipo de estafa: el mensaje llega con aspecto oficial, menciona datos reales de la reserva y pide un pago urgente o que se haga clic en un enlace para confirmar algo.

Quien reciba un correo así debe desconfiar de inmediato: un hotel no pide pagos por correo electrónico para confirmar una reserva ya realizada, y mucho menos con urgencia. No hay que hacer clic en los enlaces de estos mensajes ni descargar archivos adjuntos. Si hay alguna duda, lo correcto es entrar en la página oficial o en la aplicación escribiendo la dirección a mano, o llamar al teléfono oficial de atención al cliente.

Conviene revisar el remitente: los correos fraudulentos suelen llegar desde direcciones parecidas a las oficiales, con un dominio distinto o letras cambiadas. Que el mensaje mencione datos reales no lo hace legítimo, porque esos datos son justo los que quedaron expuestos. Tampoco hay que responder, porque eso confirma que la dirección está activa.

Qué ha dicho Iberostar

La empresa señala que dispone de procedimientos de protección de datos y ciberseguridad, y reconoce que el suceso se enmarca en una creciente actividad delictiva en el ámbito digital. No ha dado detalles técnicos sobre cómo se produjo el acceso ni ha informado de interrupciones en sus servicios.

Tampoco ha confirmado si ha notificado el suceso a la Agencia Española de Protección de Datos, como exige la normativa ante una brecha de datos personales. La empresa ya ha avisado a sus clientes y ha difundido la advertencia contra las estafas, la medida más urgente para los huéspedes.

Un sector turístico en el punto de mira

El caso se suma a otros incidentes del sector turístico español: Air Europa sufrió un ciberataque en 2023 y otro en 2024 que afectaron a su entorno de pagos y expusieron información de tarjetas de clientes. En abril de 2026, Booking.com comunicó el robo de datos personales asociados a determinadas reservas, aunque aseguró que la información financiera no se había visto afectada.

El patrón se repite: las empresas turísticas manejan grandes volúmenes de datos personales, reservas y pagos, y eso las convierte en objetivos atractivos. Los datos de reservas permiten estafas muy creíbles, dirigidas a personas concretas justo antes o después de un viaje. Según el INCIBE, los incidentes gestionados en España crecieron un 26 por ciento en 2025, hasta 122.223 casos.

Qué hacer si reservaste con Iberostar

Si tienes una reserva con Iberostar, actual o pasada, hay varias medidas sencillas que conviene tomar. La primera es estar alerta ante cualquier correo que mencione tu reserva y pida un pago, un enlace o datos personales. Ninguna comunicación legítima del hotel te pedirá la tarjeta por correo electrónico.

La segunda es revisar tus reservas directamente en la página oficial o en la aplicación de Iberostar, sin usar los enlaces de ningún correo. Si ves algún cambio que no reconoces, contacta con el hotel por sus canales oficiales. También conviene avisar a las personas con las que viajaste, porque un correo fraudulento puede llegar a cualquiera de los huéspedes.

La tercera medida es reforzar la seguridad de tu correo electrónico, la puerta de entrada de la mayoría de estas estafas. Cambia la contraseña si la usas también en otros servicios y activa la verificación en dos pasos si aún no la tienes. Si recibes un correo sospechoso, puedes denunciarlo ante el INCIBE a través de su línea de ayuda 017.

Frequently Asked Questions

¿Qué datos de clientes quedaron expuestos en el ciberataque a Iberostar?

Según la compañía, los datos potencialmente expuestos son los nombres y apellidos, las direcciones de correo electrónico, las fechas de estancia y los establecimientos elegidos. No se ha detectado acceso a números de identificación personal ni a información bancaria o de tarjetas de crédito.

¿Cómo son los correos fraudulentos que circulan tras el incidente?

Son mensajes que se hacen pasar por Iberostar y reclaman dinero bajo el pretexto de confirmar una reserva. Mencionan datos reales, como el nombre del cliente y las fechas de la estancia, para parecer auténticos. Si recibes uno, no hagas clic en sus enlaces ni pagues nada: comprueba tu reserva directamente en la página oficial o en la aplicación del hotel.

¿Tengo que cambiar alguna contraseña o cancelar mi reserva?

No es necesario cancelar la reserva ni cambiar contraseñas, porque no se ha detectado acceso a contraseñas ni a datos de pago. Refuerza la seguridad de tu correo con una contraseña única y la verificación en dos pasos, y desconfía de cualquier mensaje sospechoso sobre tu reserva.