La crisis de phishing de Booking demuestra que la confianza no se puede subcontratar

Una aplicación de viajes debería eliminar la incertidumbre, no devolvérsela al cliente en forma de lista de comprobación. Sin embargo, ese es cada vez más el acuerdo implícito de las reservas online: la plataforma se queda con la comisión y controla el mercado digital, mientras se espera que el viajero decida si un alojamiento existe, si un mensaje es auténtico y si una solicitud de pago es segura. Por eso, la nueva investigación de la Comisión Europea sobre Booking.com va mucho más allá de una sola empresa. Es una prueba para saber si los mercados digitales están dispuestos a asumir los riesgos que crea su propia comodidad.

El 21 de octubre, la Comisión abrió un procedimiento formal al amparo del Reglamento de Servicios Digitales para examinar cómo gestiona Booking.com los anuncios de alojamientos fraudulentos, el phishing y la transparencia de las posiciones patrocinadas. La plataforma cuenta con más de 45 millones de usuarios activos mensuales de media en la UE y ha afirmado que coopera plenamente, además de insistir en que la seguridad, la confianza y la protección de los datos personales son prioridades, según las informaciones sobre la investigación de la UE. La investigación no demuestra que se haya cometido ninguna infracción, pero plantea la pregunta que importa: ¿hizo Booking lo suficiente antes de que los usuarios sufrieran daños?

«Ten cuidado» no es un sistema de prevención del fraude

Lo más revelador de esta historia no es que los estafadores se hagan pasar por propietarios de alojamientos. Es un truco antiguo. Lo revelador es que pueden aprovechar las relaciones, los datos y los canales de mensajería existentes en una plataforma para que el engaño parezca auténtico. Un anuncio falso, una cuenta de anfitrión secuestrada o un mensaje con datos reales de una reserva pueden convertir a un usuario resistente a las advertencias en un objetivo fácil.

La investigación examinará cómo se comparten los datos de las reservas y los huéspedes con los alojamientos, cómo funciona el sistema de mensajería de Booking y si esas prácticas ofrecen suficiente protección frente a las solicitudes de pago fraudulentas. Precisamente ahí es donde los consejos habituales para consumidores empiezan a venirse abajo. «Comprueba quién lo envía» es un consejo poco útil cuando el mensaje llega a través de un contexto de reserva fiable e incluye información que parece confirmar la reserva.

La propia Booking informó de que las estafas relacionadas con viajes aumentaron un 500 % en un periodo de 18 meses, según las informaciones sobre la investigación de la UE. Los datos de Fraudehelpdesk citados en las informaciones sobre la investigación muestran que en los Países Bajos se registraron 1.072 denuncias de fraude durante la primera parte de 2026, con pérdidas de 82.000 €, diez veces más casos que en el mismo periodo del año anterior. Estas cifras no demuestran que Booking causara todos los incidentes. Sí muestran por qué una plataforma de esta escala no puede tratar el fraude como un efecto secundario desafortunado que los usuarios deben aprender a sortear.

Las comprobaciones de identidad deberían hacerse antes de que el anuncio llegue al cliente

La respuesta evidente no es otra ventana emergente que diga a los viajeros que sigan alerta. Es una verificación más sólida desde el principio. La Comisión afirma que evaluará si Booking identifica y elimina adecuadamente los alojamientos inexistentes, las ofertas de alojamiento que no cumplen la normativa y los anuncios creados mediante suplantación de identidad. Eso sitúa la responsabilidad donde corresponde: en el mercado digital que decide quién puede vender, qué visibilidad obtiene y qué comunicaciones llegan a los clientes.

Ningún sistema de identidad eliminará todas las estafas. Pero esa no es una excusa convincente para poner pocas barreras en el momento en que un alojamiento se incorpora a la plataforma o modifica sus datos de pago. Creemos que el criterio debería ser sencillo: cuanto más difícil sea que una cuenta de anfitrión parezca creíble, modifique información sensible o contacte con un huésped para exigirle un pago, menor será la responsabilidad que recaiga sobre el viajero.

Por eso también importa la responsabilidad legal. Si una plataforma se beneficia de centralizar la búsqueda, la reserva y la comunicación, no debería quedarse solo con las ventajas de ser el intermediario de confianza y desentenderse de los costes que genera el abuso de esa confianza. La investigación de la UE al amparo del Reglamento de Servicios Digitales es valiosa porque plantea el fraude como una cuestión de riesgo sistémico, no como una serie de errores aislados de usuarios descuidados.

La visibilidad patrocinada hace aún más difícil valorar la confianza

El segundo asunto —las posiciones de pago— es menos espectacular que el phishing, pero afecta a la misma base: ¿pueden los usuarios entender por qué están viendo un alojamiento concreto? La Comisión examina si los alojamientos que pagan comisiones más altas reciben una mayor visibilidad y si esas posiciones están claramente identificadas como publicidad. También estudiará si los usuarios pueden saber quién ha pagado, por qué se muestra un anuncio y cómo pueden cambiarse los ajustes correspondientes, según informa ANSA.

Puede parecer un conflicto de transparencia independiente, pero está relacionado. La clasificación de resultados ya parece una recomendación de la plataforma. Si el pago puede influir en la visibilidad sin una etiqueta clara, se pide al usuario que distinga entre relevancia y prioridad comercial con información incompleta. En un mercado digital en el que el propio anuncio puede ser fraudulento, esa ambigüedad no es un detalle menor. Debilita las señales que la gente utiliza para decidir qué merece su confianza.

Las etiquetas claras son lo mínimo, no la solución. Booking debería explicar de forma comprensible el motivo comercial de una posición destacada, sin obligar a los usuarios a descifrar la letra pequeña o a adivinar por qué un alojamiento aparece por encima de otro. Una interfaz fiable debería reducir la incertidumbre en el momento de elegir, no revelarla después de que se haya tomado la decisión.

El verdadero perdedor es el modelo basado en la comodidad

El peligro para Booking y otras aplicaciones similares no es solo una posible sanción regulatoria. Es la erosión de la promesa central que hizo útiles estos servicios: introduce un destino, elige un alojamiento y paga con confianza. Cuando cada mensaje se convierte en una posible trampa y cada anuncio destacado en un posible atajo de pago, la aplicación ha devuelto al cliente el trabajo de verificación.

La Comisión puede investigar, solicitar información, realizar inspecciones y exigir cambios; el proceso no tiene un plazo fijo, y su apertura no presupone culpabilidad. Pero el rumbo es el correcto. Las plataformas deberían estar obligadas a demostrar que cuentan con controles de riesgo eficaces, no limitarse a publicar consejos después de que las estafas se hayan extendido.

Nuestro veredicto es sencillo: los viajeros deben seguir siendo prudentes, pero no deberían convertirse en la principal barrera de detección del fraude de un mercado digital que no pueden auditar. Booking necesita reforzar la verificación de anfitriones y cuentas, establecer controles más seguros para los datos de las reservas y los mensajes de pago, y utilizar etiquetas publicitarias inequívocas. Las advertencias son útiles. No sustituyen a la responsabilidad.