Estafas en auge: Correos fraudulentos suplantan a Booking.com para instalar malware y robar información sensible.
En plena temporada vacacional, usuarios reportan un aumento de mensajes falsos que simulan ser de plataformas como Booking.com. Estos correos alertan sobre problemas con reservas o reembolsos, pero su verdadero objetivo es infectar dispositivos con infostealers, un tipo de malware diseñado para extraer datos confidenciales.
La campaña, analizada por Securonix, utiliza la técnica ClickFix, que manipula al usuario para que ejecute comandos maliciosos en su sistema. Según el ESET Threat Report 2025, este método registró un crecimiento del 500% en detecciones durante el primer trimestre, convirtiéndose en el segundo vector de ataque más frecuente después del phishing tradicional.
¿Cómo opera la estafa?
El engaño comienza con un correo que imita el diseño y lenguaje de Booking.com. Al hacer clic en el enlace, la víctima es redirigida a un sitio falso que muestra un mensaje de error simulando una demora en la carga. Luego, aparece una pantalla azul falsa de Windows (BSOD), que insta al usuario a ejecutar comandos en PowerShell o en la ventana «Ejecutar» para «solucionar» el problema.
Al seguir las instrucciones, se activa una cadena de acciones maliciosas: descarga de un proyecto .NET compilado con MSBuild.exe, instalación del troyano DCRAT, desactivación de Windows Defender y obtención de permisos elevados en el sistema. Este malware permite control remoto, registro de teclas, ejecución de comandos y descarga de mineros de criptomonedas.
¿Por qué Booking.com?
Los ciberdelincuentes eligen plataformas populares como Booking.com por su alta confianza entre los usuarios. «La urgencia de resolver un problema con una reserva lleva a las víctimas a actuar sin verificar la autenticidad del mensaje», explica Martina López, especialista en Seguridad Informática de ESET Latinoamérica.
Cómo protegerse
- Verificar siempre la autenticidad de los correos, especialmente si solicitan acciones urgentes.
- No ejecutar comandos desconocidos ni seguir instrucciones de pantallas de error sospechosas.
- Usar soluciones de seguridad que detecten abuso de herramientas legítimas y bloqueen descargas no autorizadas.
- Capacitar al personal en sectores con alta exposición a mensajes urgentes.
- Recordar que la ingeniería social depende de manipular al usuario, no de vulnerar software.
«Los cibercriminales ya no necesitan hackear sistemas: les basta con convencer al usuario de que lo haga por ellos», advierte López. La educación y la atención a detalles son la mejor defensa.
