Estafas en Booking contra anfitriones: cómo no caer

Quien publica en Booking.com aprende pronto que la mayoría de las reservas transcurre sin problemas. Pero las estafas en Booking existen, y apuntan a un blanco concreto: tú, el anfitrión. Al contrario de lo que mucha gente imagina, la más común no parte de un huésped malintencionado en la puerta. Llega a tu bandeja de entrada, educada, con el logotipo de la plataforma y un asunto urgente sobre una reserva.

El guion se repite y tiene una sola raíz: sacarte del entorno oficial. En Airbnb, el vector suele ser el huésped que pide cerrar el trato por fuera, y ahí la mecánica es otra. En Booking, la comunicación con el partner va por correo, el panel de gestión está en la web y, en muchos anuncios, el pago pasa por tus manos. Cada una de esas tres puertas se convierte en un anzuelo.

Esta guía muestra las estafas que apuntan al anfitrión en Booking, por qué el phishing encabeza la lista, qué es lo que la plataforma nunca pide y el protocolo para reaccionar sin perder la cuenta ni el dinero. Casi toda estafa fracasa cuando dejas de reaccionar en caliente y empiezas a reconocer el guion antes de responder.

Puntos clave

• El phishing por correo es la estafa número uno contra el anfitrión en Booking, no el huésped en la puerta.
• Booking nunca pide la contraseña, el pago de una tarifa para liberar un cobro ni un comando pegado en la computadora.
• Fuera del pago oficial, el comprobante falso y la tarjeta robada se llevan tu dinero sin recurso.
• Dos hábitos eliminan la mayor parte del riesgo: activar la verificación en dos pasos y escribir tú mismo la URL de la extranet.

¿Qué estafas en Booking apuntan al anfitrión?

Las estafas que apuntan al anfitrión en Booking giran en torno a cinco guiones, y el primero se lleva la mayor parte. El phishing por correo abre la lista: un mensaje imita a Booking e intenta robar el acceso a tu cuenta de partner. Después viene el pedido de pagar por fuera de la plataforma, luego la estafa del comprobante falso, la reserva fraudulenta y la tarjeta robada que se convierte en contracargo. Todas apuestan por tu prisa y por las ganas de no perder la fecha.

El gráfico ordena los cinco guiones del que más aparece al que menos aparece en el día a día de quien opera.

Fíjate en el hilo que une toda la lista. El delincuente rara vez inventa algo nuevo: apuesta por tu prisa por llenar el calendario y por la confianza que despierta un mensaje con la marca de la plataforma. Que un anfitrión caiga o resista depende mucho más del protocolo que de la suerte. Quien opera con volumen se da cuenta de que la reserva que parecía salvar el fin de semana era solo el pretexto para sacar dinero o acceso a la extranet. Lee lo que el mensaje pide, no lo urgente que suena. Siempre que te empuja lejos de la extranet, hacia una transferencia suelta o un enlace raro, el guion ya se delató solo, por impecable que sea su aspecto. Reconocer ese movimiento vale más que memorizar cada variante nueva de la estafa.

¿Por qué el phishing es la estafa número uno en Booking?

El phishing va primero porque Booking habla con el partner justamente por los canales que la estafa imita. El phishing es el fraude en el que alguien se hace pasar por una empresa de confianza, por correo o mensaje, para robar tu acceso, tus datos o tu dinero. En la práctica, el correo con la marca de Booking es la puerta más fácil de forzar, porque ya esperas recibir avisos de reservas por ahí.

Extranet es el nombre del panel de partner de Booking, donde gestionas calendario, tarifas, reservas y datos bancarios. Es la caja fuerte de la operación. Quien roba tu contraseña de la extranet ni siquiera necesita entrar al inmueble: empieza a enviar mensajes en tu nombre, cambia la cuenta de cobro y estafa a tus huéspedes usando tu credibilidad.

No es una amenaza teórica. Desde finales de 2024, Microsoft rastrea una campaña de phishing que se hace pasar por Booking.com y apunta a empresas de alojamiento en todo el mundo. Los correos usan anzuelos conocidos: un mensaje nuevo de huésped, una reserva de último minuto, una reseña negativa o un pedido de verificación de cuenta. Algunos llevan a una táctica llamada ClickFix, que muestra un error falso y te pide pegar un comando en la computadora, lo que instala un programa que roba contraseñas. Con la credencial en la mano, el delincuente contacta a tus huéspedes pidiendo el pago, y el daño salpica tu reputación.

El phishing llega por más de un canal, pero uno concentra el volumen. El gráfico muestra por dónde suele entrar el anzuelo.

¿Qué es lo que Booking.com nunca le pide a un anfitrión?

Booking nunca pide tu contraseña, nunca cobra una tarifa para liberar un pago y nunca te manda ejecutar un comando en la computadora. Ten presente esa frase: tumba la mayoría de los intentos antes de que siquiera analices el remitente. Si el mensaje pide cualquiera de esas cosas, es una estafa, aunque el logotipo sea perfecto y el tono tan cordial como siempre.

La tabla separa el pedido sospechoso de la realidad que hay detrás.

La defensa técnica más fuerte contra el robo de credenciales es gratuita y lleva dos minutos. La verificación en dos pasos es la función que exige un segundo código, además de la contraseña, para entrar en la cuenta. Con ella activa, la contraseña robada en un enlace falso no basta para entrar en la extranet. El propio centro de seguridad de Booking.com para partners recomienda activarla y recuerda que la plataforma no pide contraseñas por correo. Actívala hoy, antes de necesitarla.

¿Por qué aceptar pagos por fuera es la puerta de la estafa?

Aceptar pagos por fuera es la puerta de la estafa porque, sin el sistema de pagos de Booking, te conviertes en la caja y asumes todo el riesgo. Booking nació para hoteles, y por eso buena parte de las reservas no exige pago en el momento: el huésped reserva con cancelación gratuita y paga al llegar. Cuando el cobro queda en tus manos, se abre espacio para tres fraudes clásicos.

El primero es la estafa del comprobante falso. El supuesto huésped reserva para dentro de uno o dos días, envía un comprobante de transferencia y pide entrar antes de que el dinero se acredite. El comprobante es una imagen editada, el dinero nunca llega y te enteras tarde. El segundo es la tarjeta robada. El contracargo (chargeback) es la reversión que el titular de la tarjeta pide a su banco para anular un cobro. Con una tarjeta robada, la estadía ocurre y la reversión llega después, y te quedas sin el importe. El tercero es la reserva fraudulenta, hecha solo para probar el acceso o sacar datos.

El patrón que delata a los tres es siempre el mismo: prisa y plazo corto. El delincuente fija la llegada para muy pronto, antes de que cualquier transferencia se acredite, e insiste en resolverlo por fuera del sistema. Un hábito simple acaba con el comprobante falso: nunca entregues la llave contra un comprobante, solo contra el dinero efectivamente acreditado en la cuenta. Como una transferencia bancaria puede tardar días hábiles en acreditarse, una reserva del viernes que "ya está pagada" merece el doble de atención antes del check-in. Repite la regla en cada estadía, sin excepción para el huésped simpático ni para la fecha que tanto querías ocupar. Quien opera desde hace tiempo trata esa combinación de urgencia y pago por fuera casi como un detector de fraude integrado en la rutina.

La salida estructural es dejar que la plataforma se ocupe del dinero. Booking Payments es el sistema en el que la propia Booking cobra al huésped y te transfiere el pago, quitando la tarjeta y la transferencia de tus manos. No elimina la comisión, pero traslada el riesgo de fraude en el pago a quien tiene estructura para absorberlo. Entre pagar la comisión y comerse un contracargo, las cuentas casi siempre salen a favor del sistema oficial. En Airbnb vale la misma lógica: pedirle el pago directo al huésped es uno de los errores caros que se explican en qué hacer cuando Airbnb no te ha pagado.

¿Cómo reconocer un correo falso de Booking?

Un correo falso se reconoce por el conjunto de señales, nunca por una sola. El remitente viene de un dominio parecido pero no idéntico al real, a veces con una letra cambiada que engaña a quien lee con prisa. El tono apuesta por la urgencia y la amenaza de suspender la cuenta. Y, en algún momento, el pedido se desliza hacia una contraseña, una tarjeta o un enlace fuera de la extranet. Cada señal aislada puede ser inocente. Varias juntas forman el guion.

El gráfico ordena las señales de alerta según el peso que suelen tener a la hora de desconfiar.

La comparación lado a lado ayuda a entrenar el ojo. La tabla contrasta lo que suele ser legítimo con lo que suele ser estafa.

Aquí importa la diferencia de raíz entre las dos plataformas, porque cambia tu defensa. La tabla resume por dónde entra la estafa en cada una.

¿Qué hacer si caíste en la estafa?

Si caíste, o casi caíste, actúa rápido y en el orden correcto. Primero, detente: no hagas clic otra vez, no pagues, no pegues ningún comando. Después, verifica la información por el canal oficial, escribiendo siempre la dirección de Booking en el navegador en lugar de hacer clic en el enlace recibido. Luego, cambia la contraseña y activa la verificación en dos pasos. Por último, repórtalo a Booking y, si la cuenta quedó comprometida, avisa a los huéspedes activos de que hubo un incidente.

Este protocolo importa porque el fraude apuesta por la improvisación. Cuando toda tu comunicación con el huésped ya sale por un canal único y coherente, es mucho más fácil notar cuando algo desentona. Un pedido de pago que tú nunca harías, o un mensaje con un tono que no es el tuyo, salta a la vista al momento. Aquí la automatización de la atención al huésped refuerza la seguridad, además del tiempo de respuesta. Herramientas como Anfitrione responden las dudas comunes por WhatsApp y mantienen el estándar de los mensajes, mientras el pago y la reserva siguen siempre en la plataforma, donde está la protección. Estandarizar la atención también estandariza la defensa, porque crea una referencia clara de lo que es normal. Una operación ordenada se equivoca menos por el susto y recupera el control más rápido.

El gráfico muestra la diferencia que hace seguir el protocolo en el daño de un incidente.

En el día a día, la defensa es rutina, no suerte. Pocas prácticas, repetidas en cada reserva, eliminan la mayor parte del riesgo. La tabla junta cada hábito con la estafa que bloquea.

Si pasa lo peor y una reserva parece fraudulenta, Booking mantiene una vía oficial dentro de la extranet para que reportes y bloquees reservas falsas. Usa ese canal, con capturas y fechas, en lugar de intentar resolverlo por tu cuenta con el supuesto huésped. Cuanto más se haya quedado la comunicación en la plataforma, más sólido será tu caso. En Airbnb pasa lo mismo: el chat de la plataforma suele ser la prueba que decide una solicitud para eliminar una reseña injusta.

Desconfiar del correo también es parte de operar

La seguridad en Booking no viene de tratar a cada huésped como un estafador. Viene de conocer el guion y mantener la operación dentro del entorno oficial, donde existe la protección. El hilo común de casi todo fraude es la invitación a salir de ahí: un pago por fuera, un enlace en lugar de la extranet, una contraseña escrita donde no debía. Tu mejor defensa es rechazar esa invitación con calma y método.

Activa la verificación en dos pasos, revisa el remitente antes de hacer clic, deja el pago en manos de la plataforma y estandariza la comunicación con el huésped. Si publicas en Airbnb y en Booking a la vez, mantén la misma rutina en los dos canales, para que los hábitos de seguridad se sostengan a largo plazo.