Reservar un vuelo, contratar un hotel o comprar una excursión puede convertirse en una amenaza para tu privacidad. Una investigación de NordVPN y Saily identifica 119,4 millones de registros de viajeros expuestos en 494 filtraciones de datos relacionadas con el sector turístico. Los incidentes analizados ocurrieron entre enero de 2021 y agosto de 2026 y afectan a aerolíneas, hoteles, agencias de viajes, plataformas de reservas y empresas de alquiler de automóviles.
El problema va mucho más allá de perder una contraseña. Los registros comprometidos pueden contener nombres completos, direcciones, números telefónicos, fechas de nacimiento e incluso información de documentos de identidad. Cuando estos datos terminan en manos equivocadas, los delincuentes pueden utilizarlos para preparar estafas personalizadas, suplantar identidades o intentar acceder a otros servicios.
Además, el riesgo no desaparece cuando terminan las vacaciones. Una empresa que utilizaste una sola vez puede conservar tus datos durante años, aunque nunca vuelvas a contratar sus servicios.
Las filtraciones de datos de viajeros revelan información muy personal
La investigación demuestra que las empresas turísticas almacenan información mucho más delicada de lo que muchos usuarios imaginan. Cada reserva puede sumar nuevos datos a un historial personal que permanece distribuido entre numerosos proveedores.
Los investigadores identificaron la presencia de distintas categorías de información en las filtraciones analizadas:
- 92 % incluía nombres completos.
- 87 % contenía números telefónicos.
- 78 % exponía direcciones.
- 55 % incorporaba fechas de nacimiento.
- 46 % incluía contraseñas.
- 19 % contenía información sobre nacionalidad.
- 11 % exponía datos de documentos de identidad.
Estos porcentajes corresponden a la proporción de incidentes que contenían cada tipo de información, no al porcentaje de viajeros afectados.
La combinación resulta especialmente preocupante. Un nombre acompañado de una dirección, un teléfono y una fecha de nacimiento puede facilitar intentos de suplantación de identidad. Además, los delincuentes pueden aprovechar esa información para crear mensajes fraudulentos mucho más convincentes.
A diferencia de una contraseña, que puede modificarse después de una filtración, los datos personales básicos acompañan a una persona durante prácticamente toda su vida.
Las agencias de viajes y plataformas de reservas concentran más incidentes
No todas las empresas turísticas presentan el mismo patrón de exposición. Según el estudio, las plataformas de reservas, agencias de viajes en línea, operadores turísticos y proveedores de actividades concentraron 55,5 % de las filtraciones identificadas.
Esta categoría incluye desde grandes intermediarios internacionales hasta pequeñas agencias regionales que organizan excursiones, visitas guiadas o experiencias turísticas.
Algunas empresas utilizan sistemas antiguos o plataformas que no reciben mantenimiento adecuado. Estas condiciones pueden aumentar su exposición a ataques informáticos, aunque el estudio no demuestra que sean la causa de todos los incidentes registrados.
En promedio, cada filtración relacionada con reservas, excursiones y actividades comprometió aproximadamente 107.000 registros.
Por eso, una pequeña empresa que utilizas durante unas vacaciones también merece atención. Puede solicitar información personal para confirmar una actividad y conservarla después de finalizar el servicio.
El viajero termina compartiendo datos con organizaciones cuyas políticas de seguridad desconoce. Y mientras más proveedores intervienen en un viaje, mayor es la cantidad de sistemas que almacenan información sobre su identidad.
Las aerolíneas sufren menos filtraciones, pero cada ataque puede afectar a millones
Las compañías aéreas presentan una situación diferente. Los investigadores identificaron solamente 21 incidentes relacionados con aerolíneas, pero cada uno expuso un promedio aproximado de 1,2 millones de registros.
Esto significa que una filtración promedio en una aerolínea comprometió más de once veces la cantidad de registros observada en un incidente típico de plataformas de reservas y actividades.
En conjunto, las empresas de reservas y excursiones registraron aproximadamente trece veces más incidentes que las aerolíneas. Sin embargo, las consecuencias de un ataque contra una gran compañía aérea pueden alcanzar a una cantidad considerablemente mayor de personas.
La distribución de registros expuestos también revela que el problema afecta prácticamente a toda la industria turística.
Las empresas de alquiler de automóviles, cruceros y ferrocarriles concentraron 27,7 % de los registros identificados. Las plataformas de reservas y actividades representaron 24,6 %, mientras que hoteles y complejos turísticos acumularon 23,7 %. Las aerolíneas registraron 21,2 %.
Estas cifras muestran que ninguna categoría concentra por sí sola toda la exposición. El riesgo se distribuye entre múltiples servicios utilizados antes, durante y después de cada viaje.
Una reserva olvidada puede convertirse en un problema años después
Uno de los hallazgos más relevantes tiene relación con la conservación de información personal.
Cuando reservas una excursión, alquilas un automóvil o contratas una actividad, es habitual crear una cuenta o proporcionar datos para completar la operación. Sin embargo, terminar el viaje no significa necesariamente que la empresa elimine esa información.
Algunos proveedores pueden conservar registros durante años. Incluso una cuenta que ya no utilizas puede seguir asociada a datos personales almacenados en sus sistemas.
Esto crea una situación especialmente delicada: el usuario olvida el servicio, pero la empresa mantiene información que podría quedar expuesta en una futura brecha de seguridad.
Además, los datos procedentes de diferentes incidentes pueden combinarse para construir perfiles más completos. Un delincuente podría utilizar información obtenida de una reserva turística junto con registros comprometidos en otros servicios.
Por eso, proteger una cuenta activa no siempre resulta suficiente. También conviene revisar qué información permanece almacenada en plataformas utilizadas ocasionalmente.
Cómo proteger tus datos personales al reservar vuelos, hoteles y vacaciones
Aunque los viajeros no pueden controlar directamente la seguridad informática de cada proveedor, sí pueden reducir la información que comparten y limitar las consecuencias de una posible filtración.
La primera recomendación consiste en evitar la creación de cuentas innecesarias. Si una plataforma permite completar una reserva como invitado, puede ser preferible utilizar esa opción cuando no necesitas conservar un perfil permanente.
También conviene establecer contraseñas diferentes para cada servicio y activar la autenticación multifactor cuando esté disponible. De esta manera, una contraseña comprometida no facilita automáticamente el acceso a otras cuentas.
Otra precaución importante consiste en revisar las solicitudes de documentos personales. Antes de enviar una fotografía del pasaporte o documento de identidad, verifica que el proveedor realmente necesita esa información y que utiliza un procedimiento seguro para recibirla.
Después del viaje, elimina los métodos de pago almacenados que ya no necesitas. También puedes revisar las cuentas antiguas de hoteles, agencias, excursiones y empresas de alquiler para solicitar su eliminación cuando corresponda.
En cualquier caso, borrar una cuenta no garantiza que desaparezcan inmediatamente todos los registros. Algunas empresas deben conservar determinada información por obligaciones legales o administrativas.
Casi 120 millones de registros expuestos no significan 120 millones de víctimas diferentes
Existe una precisión importante para interpretar correctamente la investigación. Los 119,4 millones corresponden a registros identificados mediante el análisis de direcciones de correo electrónico únicas expuestas en los incidentes estudiados.
Por tanto, no puede afirmarse que 119,4 millones de personas diferentes hayan sufrido una filtración. Una misma persona puede aparecer en incidentes distintos.
Además, los investigadores utilizaron información histórica recopilada mediante NordLayer Intelligence. Analizaron 494 incidentes registrados entre el 1 de enero de 2021 y el 18 de agosto de 2026, excluyendo falsos positivos y determinados incidentes individuales de gran magnitud.
Los resultados tampoco representan la totalidad de las filtraciones ocurridas mundialmente en la industria turística.
Aun con estas limitaciones, el estudio identifica un problema concreto: reservar vacaciones implica compartir información personal con numerosas empresas, y cada una representa un posible punto de exposición.
La mejor defensa comienza antes de confirmar una reserva y continúa después de regresar a casa. Porque las vacaciones terminan, pero los datos que entregaste durante el viaje pueden permanecer almacenados durante muchos años.
