La UE abre un procedimiento DSA contra Booking.com por anuncios falsos y phishing

La Comisión Europea abrió el 21 de octubre un procedimiento formal contra Booking.com en virtud de la Ley de Servicios Digitales (DSA). Bruselas sospecha que la plataforma no evaluó ni frenó como debía los riesgos de los anuncios de alojamiento falsos y del phishing que aprovecha los datos de reserva de los huéspedes. Una tercera línea se refiere a los anuncios destacados por los que pagan los hoteles pero que no se marcan claramente como publicidad.

«Los europeos deben poder reservar sus vacaciones sin ser estafados», afirmó Henna Virkkunen, vicepresidenta ejecutiva de la Comisión para la Soberanía Tecnológica, según heise. Booking.com es una plataforma en línea de muy gran tamaño según la DSA desde abril de 2023, es decir, tiene más de 45 millones de usuarios mensuales en la UE. Si se confirman las infracciones, se enfrenta a una multa de hasta el 6 % de su facturación anual mundial.

Qué examinará Bruselas

La primera línea son los anuncios falsos: alojamientos inexistentes, suplantación de hoteles reales y ofertas que incumplen las normas locales. La Comisión comprobará si Booking.com evaluó estos riesgos y retiró esos anuncios de forma eficaz. Según heise, en España han aparecido recientemente anuncios de alojamientos que no existían en absoluto.

La segunda línea es la que más afecta al bolsillo del huésped. La Comisión estudiará cómo se comparten los datos de reservas y huéspedes con los alojamientos, cómo está diseñado el servicio de mensajería de Booking.com y si hay salvaguardas suficientes para impedir que esos datos se usen para phishing y solicitudes de pago fraudulentas. La tercera línea es la publicidad: un hotel puede subir en los resultados pagando una comisión más alta, y la DSA exige que el usuario vea con claridad que es un anuncio y quién lo pagó.

Las presuntas infracciones corresponden a los artículos 34 y 35 de la DSA sobre riesgos sistémicos y al artículo 26, apartado 1, sobre transparencia publicitaria. El caso sigue a solicitudes formales de información enviadas el 23 de septiembre de 2025 y el 26 de mayo de 2026. No hay plazo: la Comisión puede enviar nuevas solicitudes, entrevistar a empleados, realizar inspecciones, imponer medidas cautelares o aceptar compromisos de la empresa. Booking.com dijo a dpa que «coopera plenamente». El mismo procedimiento ya está en marcha contra otras plataformas, como TikTok por las cuentas de menores.

Cómo llega la estafa a los huéspedes

En abril de 2026 Booking.com advirtió a sus clientes de que «terceros no autorizados» habían accedido a datos de reservas: nombres, direcciones de correo electrónico y postales, teléfonos y detalles de la reserva. Según Malwarebytes, los delincuentes entraron a través de hoteles asociados y no de la propia Booking.com. Microsoft atribuye ataques contra personal hotelero a un grupo que denomina Storm-1865, que instalaba programas de acceso remoto mediante páginas CAPTCHA falsas.

Con el acceso de un hotel, el estafador escribe a los huéspedes desde el propio chat de la plataforma. La Oficina Federal de Ciberseguridad de Suiza (BACS) describió dos variantes en junio. En una, «Booking.com» o «el hotel» ofrece por WhatsApp un reembolso o un cashback por un error. En la otra, se dice al huésped que su reserva se cancelará si no verifica de inmediato su tarjeta o paga un anticipo. Ambas llevan a una página de pago falsa que recoge los datos de la tarjeta.

Qué ayuda, según la BACS y Booking.com:

• No se fíe de un mensaje solo porque mencione sus fechas, su hotel y su habitación: esos son precisamente los datos filtrados.
• No abra enlaces de mensajes sobre reembolsos, «verificaciones» o pagos urgentes, aunque lleguen por el chat de Booking.com.
• Consulte cuánto y cuándo debe pagar en la confirmación de la reserva, en la app o en la web que abra usted mismo.
• Si tiene dudas, llame al hotel a un número que busque usted. Un reembolso nunca exige sus credenciales ni escanear un código QR.
• Si ya ha introducido los datos de la tarjeta, llame a su banco y bloquéela.