Un estudio de NordVPN y Saily identifica 494 filtraciones vinculadas al sector turístico entre 2021 y 2026. Nombres, teléfonos, direcciones y contraseñas figuran entre los datos comprometidos, lo que aumenta los riesgos de fraude y suplantación de identidad.
La digitalización de los servicios turísticos ha simplificado la contratación de vuelos, hoteles y actividades, pero también ha multiplicado los lugares en los que los usuarios depositan información personal. Cada reserva puede implicar la entrega de nombres, números de teléfono, direcciones, fechas de nacimiento e incluso documentos de identidad a empresas que conservan esos datos durante periodos prolongados.
Una investigación conjunta de NordVPN y Saily, basada en información analizada mediante la plataforma NordLayer Intelligence, ha identificado 119,4 millones de registros de viajeros expuestos en 494 filtraciones de datos relacionadas con el sector turístico entre el 1 de enero de 2021 y el 18 de agosto de 2026.
El estudio, difundido este 13 de octubre, examina incidentes que afectan a aerolíneas, hoteles, plataformas de reservas, agencias de viajes, proveedores de excursiones, empresas de alquiler de vehículos y otros servicios de transporte.
Los investigadores advierten de que la exposición de información personal puede tener consecuencias mucho después de finalizar un viaje, especialmente cuando los datos comprometidos son difíciles de modificar.
Nombres, teléfonos y direcciones entre los datos más expuestos
Uno de los resultados más relevantes de la investigación es la variedad de información personal que aparece en las filtraciones analizadas.
El 92 % de los incidentes contenía nombres completos, el 87 % números de teléfono y el 78 % direcciones. Además, el 55 % incluía fechas de nacimiento y el 46 % contraseñas.
La nacionalidad figuraba en el 19 % de los casos, mientras que el 11 % incorporaba datos de documentos nacionales de identidad.
Estas cifras reflejan que una filtración en el sector turístico puede comprometer información mucho más sensible que unas simples credenciales de acceso.
La combinación de nombres, teléfonos, direcciones y fechas de nacimiento puede facilitar intentos de suplantación de identidad, campañas de phishing personalizadas y otras modalidades de fraude digital.
Marijus Briedis, director de Tecnología de NordVPN, señala que el problema no reside únicamente en el volumen de información expuesta, sino también en su naturaleza.
Mientras que una contraseña comprometida puede sustituirse, otros datos personales permanecen vinculados a su titular durante toda la vida.
Las plataformas de reservas concentran más incidentes
La investigación identifica diferencias importantes entre los distintos segmentos del sector turístico.
Las plataformas de reservas, las agencias de viajes online, los turoperadores y los proveedores de excursiones y actividades representaron el 55,5 % de las filtraciones analizadas.
En esta categoría se encuentran tanto grandes plataformas digitales como operadores regionales y pequeñas empresas que ofrecen experiencias turísticas.
Según el informe, algunos de estos proveedores pueden utilizar sistemas antiguos o infraestructuras tecnológicas con un mantenimiento insuficiente, circunstancias que pueden aumentar su exposición a incidentes de seguridad.
Las aerolíneas presentan un patrón diferente.
Los investigadores identificaron únicamente 21 filtraciones relacionadas con compañías aéreas, pero cada incidente dejó expuestos, de media, alrededor de 1,2 millones de registros.
En comparación, las filtraciones correspondientes a plataformas de reservas, agencias y proveedores de actividades afectaron a una media aproximada de 107.000 registros por incidente.
Esto significa que, dentro de la muestra estudiada, las filtraciones de aerolíneas fueron menos frecuentes, pero tuvieron un impacto medio considerablemente mayor.
La información personal puede permanecer almacenada durante años
Otro de los riesgos destacados por NordVPN y Saily es la conservación prolongada de información personal en servicios que los viajeros utilizan una sola vez.
Una reserva de hotel, una excursión o el alquiler ocasional de un vehículo pueden dar lugar a la creación de cuentas y al almacenamiento de datos que permanecen en los sistemas del proveedor después de completar el servicio.
Vykintas Maknickas, CEO de Saily, advierte de que los usuarios pueden olvidar estas cuentas, aunque la información facilitada continúe almacenada durante años.
Esta situación incrementa la exposición acumulada de los viajeros, especialmente cuando utilizan numerosos proveedores y plataformas durante sus desplazamientos.
Desde la perspectiva de la ciberseguridad, el problema no depende exclusivamente de la protección de las grandes compañías.
Un proveedor pequeño con controles insuficientes puede convertirse en una vía de exposición de datos personales, mientras que un incidente en una gran empresa puede comprometer simultáneamente un volumen mucho mayor de registros.
El riesgo de fraude y suplantación de identidad
La información obtenida en una filtración puede resultar útil para distintos tipos de actividades fraudulentas.
Los datos personales pueden utilizarse para elaborar mensajes engañosos que aparenten proceder de una aerolínea, un hotel o una plataforma de reservas.
Por ejemplo, un atacante que conozca determinados datos de un viajero podría intentar convencerlo de que debe actualizar una reserva, confirmar un pago o proporcionar información adicional.
La disponibilidad de datos de contacto y elementos de identidad también puede aumentar la credibilidad de estos intentos.
Conviene señalar que el estudio analiza la exposición de información en filtraciones detectadas. No demuestra que todos los registros comprometidos hayan sido utilizados posteriormente para cometer fraudes, ni permite establecer cuántas personas distintas resultaron afectadas.
Sin embargo, sus resultados ponen de manifiesto la importancia de limitar la cantidad de información personal almacenada en servicios digitales.
Cómo reducir la exposición de datos al reservar un viaje
Los investigadores de NordVPN y Saily recomiendan adoptar medidas sencillas para reducir la huella digital asociada a los viajes.
Entre ellas destaca evitar la creación de cuentas cuando no sean necesarias, utilizar contraseñas diferentes para cada servicio y activar la autenticación multifactor siempre que esté disponible.
También aconsejan eliminar los datos de pago y de identificación que ya no resulten necesarios, así como comprobar cuidadosamente si una plataforma necesita realmente una copia del pasaporte o de otro documento personal.
Una vez finalizado el viaje, recomiendan revisar las cuentas utilizadas para reservar vuelos, alojamientos, actividades o vehículos.
Cuando estos servicios dejen de ser necesarios, los usuarios pueden solicitar la eliminación de sus cuentas y de los datos personales asociados, de acuerdo con las condiciones y obligaciones legales aplicables.
Estas prácticas no eliminan por completo el riesgo de una filtración, pero pueden reducir la cantidad de información que permanece distribuida entre distintos proveedores.
Un estudio basado en 494 filtraciones detectadas
La investigación fue realizada por NordVPN y Saily utilizando datos históricos analizados a través de NordLayer Intelligence.
El periodo estudiado comprende desde el 1 de enero de 2021 hasta el 18 de agosto de 2026.
Los investigadores identificaron incidentes relacionados con empresas del sector turístico y clasificaron las organizaciones afectadas según su nombre, dominio y descripción.
Los incidentes de mayor tamaño fueron revisados individualmente y se eliminaron los falsos positivos identificados.
El alcance de las filtraciones se calculó utilizando direcciones de correo electrónico únicas expuestas, lo que dio como resultado 119,4 millones de registros en 494 incidentes.
Los autores aclaran que las cifras corresponden a las filtraciones detectadas en su conjunto de datos y no representan la totalidad de las brechas de seguridad ocurridas en el sector turístico mundial.
La investigación refleja así un problema de fondo de la economía digital: los datos personales pueden seguir circulando y permanecer expuestos mucho después de que haya terminado la relación entre un usuario y un servicio.
En un entorno donde las reservas, los pagos y la identificación se realizan cada vez más por medios digitales, la protección de esa información se convierte en una responsabilidad compartida entre empresas y usuarios.