Tras un julio marcado por el “secuestro de vacaciones”, agosto llega con un giro de guion: los ciberdelincuentes han pasado de pensar como turistas a comportarse como personal de hotel, agente de viajes y responsable de Recursos Humanos al mismo tiempo. La nueva ola de phishing se apoya en códigos QR, canales de mensajería y voces clonadas para atacar tanto a viajeros como a empresas en el momento más crítico del verano.
AGOSTO: EL MES DE LAS “ÚLTIMAS HORAS”
Agosto concentra el cierre de campañas y el inicio de muchos contratos temporales, tres contextos que los atacantes explotan con precisión. El patrón se repite: mensajes que hablan de “última oportunidad”, “último aviso” o “cierre inmediato” para activar pagos, validar datos o descargar supuestos documentos de viaje. Ese lenguaje, cuidadosamente diseñado, convierte el correo, el SMS o el mensaje de WhatsApp en detonantes de decisiones impulsivas.
“El gran cambio en agosto es que el phishing deja de centrarse solo en la reserva y se desplaza al entorno completo del viaje: tarjetas de embarque, encuestas de satisfacción, check-in online y hasta reclamaciones de equipaje”, explica José Montero, CEO de Montero de Cisneros. “Los atacantes han entendido que el turista vive pegado al móvil y que las empresas viven pegadas al correo corporativo: ahí es donde ponen el foco”, añade el experto.
NUEVAS FORMAS DE PHISHING: DEL QR AL CHAT DE EMPRESA
Las técnicas que más titulares están generando este agosto comparten un denominador común: se integran de forma casi invisible en hábitos digitales cotidianos.
Entre los métodos emergentes destacan:
Phishing por código QR (“QRishing”): etiquetas en hoteles, aeropuertos o restaurantes que redirigen a webs falsas de pago, supuestas encuestas de satisfacción o “WiFi gratuito”, diseñadas para capturar credenciales o datos bancarios.
Phishing en apps de mensajería: falsas comunicaciones de atención al cliente de Booking, Airbnb o compañías aéreas vía WhatsApp o Telegram, imitando logos, tonos de respuesta y templates habituales de estas plataformas.
Vishing de nueva generación: uso combinado de voz clonada por IA y bases de datos filtradas para llamar al empleado de guardia, al director de hotel o al responsable financiero con órdenes urgentes de pago o cambio de cuenta bancaria.
Phishing en plataformas de firma electrónica: correos que simulan ser contratos temporales, renovaciones o anexos laborales, con enlaces a portales falsos donde se roba la identidad digital del profesional.
“El phishing ya no pide que hagas clic en un enlace extraño: se disfraza de aquello que el usuario espera recibir”, subraya Montero, CEO del despacho de abogados, Montero de Cisneros. “Un código QR en un hotel, un mensaje de WhatsApp con el logo correcto o un contrato para firmar antes de incorporarte en septiembre son ahora vectores de ataque tan eficaces como el correo clásico.”
AGOSTO: DÓNDE DEBEN PONER EL FOCO TURISTAS Y EMPRESAS
Si julio fue el mes de la falsa cancelación de reservas, agosto es el mes de las falsas confirmaciones, compensaciones y actualizaciones. Los expertos señalan tres grandes focos de riesgo para viajeros y organizaciones:
Para viajeros y turistas:
Mensajes sobre “compensaciones por retrasos”, “reembolsos inmediatos” o “tasas turísticas pendientes” que exigen pago urgente antes de la salida o al llegar al destino.
Códigos QR en espacios públicos no verificados: carteles improvisados, pegatinas sobre señalética oficial o enlaces QR compartidos por desconocidos en grupos de viaje.
Canales no oficiales: cualquier gestión de reservas o reclamaciones que no pase por la app oficial de la aerolínea, hotel o plataforma.
Para empresas del sector turístico y otros sectores:
Correos que suplantan a Recursos Humanos o Finanzas con cambios de cuenta bancaria, ajustes de nómina o instrucciones sobre pagos a proveedores en plena operación cierre.
Mensajes dirigidos a personal de guardia o equipos reducidos, aprovechando vacaciones y rotaciones para exigir acciones sin doble verificación.
Ataques que aprovechan accesos remotos desde segundas residencias, hoteles o redes WiFi públicas para entrar en sistemas corporativos menos protegidos.
LA CLAVE: TRANSFORMAR HÁBITOS, NO SOLO TECNOLOGÍA
Más allá de las cifras, lo que vuelve estas historias especialmente mediáticas en agosto es el choque entre la expectativa de descanso y la realidad de la estafa. Familias que reciben un QR “para reclamar la maleta perdida” que termina vaciando su cuenta, profesionales que aceptan firmar un contrato digital que no existe o empleados que obedecen una voz clonada de su propio director son relatos que ponen rostro al fenómeno.
“Seguimos viendo el phishing como un problema técnico, cuando en realidad es un problema de hábitos”, insiste Montero. “La regla de oro en agosto es doble: nunca actuar desde la urgencia y nunca operar desde un canal que no se haya verificado dos veces.” Montero recomienda comprobar siempre la URL en el navegador, evitar escanear códigos QR de origen dudoso y desconfiar de cualquier gestión importante iniciada por SMS o mensajería instantánea.
