Ciberseguridad en agencias de viajes: prevención y protocolos operativos

Alfonso Piñeiro, representante de Botech, expone en el II Congreso Tecno Travel Agency que la protección de la información corporativa es un pilar estratégico para la viabilidad del negocio turístico.

El pasado 14 de mayo de 2026, la ciudad de Málaga acogió el II Congreso Tecno Travel Agency, un evento impulsado por la Unión de agencias de viajes (UNAV). Durante esta jornada técnica, la seguridad de la información ocupó un lugar central gracias a la ponencia de Alfonso Piñeiro, especialista de la firma Botech. Bajo el título «Ciberseguridad en agencias de viajes: como proteger datos y evitar fraudes», el experto desmitificó la creencia de que la protección digital es un ámbito exclusivo de perfiles técnicos, expertos informáticos o personas catalogadas informalmente como «frikis». Por el contrario, su argumentación se basó en una premisa fundamental y reiterada: la ciberseguridad es una cuestión transversal que afecta directamente al núcleo del negocio turístico.

La prisa y la urgencia: Los principales vectores de ataque

Para ilustrar las amenazas cotidianas a las que se enfrentan los profesionales, la intervención adoptó un formato interactivo en el que los asistentes debían evaluar la legitimidad de distintos correos electrónicos simulados mediante aplausos o abucheos. En este sentido, Piñeiro proyectó ejemplos de comunicaciones fraudulentas que suplantaban la identidad de la aerolínea Iberia, exigiendo a los receptores acciones inmediatas ante supuestas cancelaciones o cambios de vuelos. De este modo, se evidenció que los ciberdelincuentes no subestiman la inteligencia de los trabajadores, sino que diseñan sus ataques explotando el estrés, la acumulación de correos pendientes y la alta carga de trabajo habitual en las agencias de viajes.

Asimismo, el ponente utilizó una metáfora ilustrativa sobre el comportamiento de los depredadores en la naturaleza, recordando que los atacantes, al igual que los leones, buscan el objetivo más vulnerable o apresurado —la gacela coja— para asegurar el éxito inmediato de su intrusión. En consecuencia, cualquier mensaje que exija una acción urgente en un plazo límite debe ser considerado automáticamente como un factor de riesgo elevado que requiere extrema precaución. Además, se advirtió sobre la facilidad operativa con la que los cibercriminales pueden suplantar direcciones de correo corporativas si las políticas de seguridad de los dominios, tales como SPF, DKIM o DMARC, presentan errores de configuración.

Ingeniería social y el uso malicioso de la Inteligencia Artificial

Por otro lado, la exposición profundizó de forma analítica en las vulnerabilidades derivadas de la interacción humana directa y los ataques de ingeniería social. Mediante una simulación en vivo de un role play, se escenificó una llamada telefónica en la que un supuesto cliente de alto valor o «VIP» exigía modificaciones urgentes en una reserva, presionando agresivamente al agente para que omitiera los protocolos formales de verificación de identidad bajo la amenaza de llevar su facturación a la competencia.

En relación con estas tácticas de manipulación, Piñeiro alertó sobre el impacto exponencial que la Inteligencia Artificial está teniendo en la sofisticación de las estafas. En la actualidad, es factible clonar la voz de un individuo con suscripciones tecnológicas de apenas diez euros al mes, o programar aplicaciones que respondan en tiempo real de manera conversacional, replicando inflexiones y tonos creíbles, mediante inversiones ligeramente superiores. Ante estas suplantaciones avanzadas, la recomendación técnica más contundente es la implementación de sistemas de doble vía de autenticación, obligando al profesional a utilizar canales alternativos de comunicación para verificar la identidad real del interlocutor antes de ejecutar cambios críticos en las reservas o los sistemas de la empresa.

El fantasma del RGPD: La gestión responsable de la información

Otro aspecto crucial abordado durante la conferencia fue el estricto cumplimiento normativo, personificado temporalmente por el experto bajo el nombre ficticio de «Rocío Gómez», en clara referencia a las iniciales del Reglamento General de Protección de Datos (RGPD). En este bloque temático, se analizaron diversas prácticas corporativas deficientes pero altamente extendidas en las oficinas. Destacó especialmente la crítica a la captura de pantallas y su posterior difusión indiscriminada en aplicaciones de mensajería como WhatsApp, un procedimiento que genera una pérdida absoluta de la trazabilidad de la información confidencial de los clientes.

Paralelamente, se sometió a debate los riesgos inherentes de almacenar bases de datos en documentos tipo Excel sin el cifrado adecuado, o de mantener puertos de conexión abiertos que pueden ser fácilmente explotados mediante escaneos desde el exterior. Por tanto, la conclusión periodística más relevante en esta materia de privacidad dictaminó que la medida de protección más eficaz es la eliminación definitiva de la información; es decir, el dato más seguro para una empresa es aquel que deja de existir una vez que la operativa turística específica ha finalizado.

Finalmente, el analista de Botech recordó al auditorio que las brechas de seguridad trascienden el plano digital para instalarse en el entorno físico de las agencias. Se describió cómo actores maliciosos pueden infiltrarse en las instalaciones camuflados como personal de contratas de limpieza para sustraer documentos impresos, memorias USB o acceder a equipos informáticos que han quedado desbloqueados por descuidos del personal.

Ransomware: Protocolos de actuación y trabajo en equipo

La parte de clausura de la ponencia se centró en abordar la amenaza más devastadora para la continuidad de cualquier organización: el temido secuestro de información, conocido técnicamente como ransomware. A través de un ejercicio competitivo y participativo por equipos, se procedió a establecer las pautas operativas fundamentales frente a un incidente cibernético de esta extrema gravedad.

En este contexto de crisis absoluta, la directriz primordial establecida por Piñeiro fue que las decisiones empresariales nunca deben tomarse de manera individual o precipitada, sino que requieren de un consenso previo y consulta directa con el resto del equipo corporativo. Además, ante una infección confirmada en la terminal, el protocolo técnico exige desconectar y aislar inmediatamente el equipo de la red de la oficina, evitando bajo cualquier concepto proceder a su apagado o reinicio. El objetivo de esta inmovilización es preservar intactas las evidencias digitales para que los peritos y especialistas forenses puedan analizar la trazabilidad y el verdadero alcance de la intrusión.

A modo de cierre, Alfonso Piñeiro sintetizó magistralmente las lecciones operativas de la jornada congresual, instando a los agentes de viajes presentes a desterrar permanentemente la prisa de sus dinámicas diarias. Para garantizar la viabilidad del negocio, resulta indispensable mantener un elevado nivel de atención, respetar de forma escrupulosa todos los procesos estandarizados, eliminar los datos personales innecesarios y no confiar jamás de manera predeterminada en comunicaciones urgentes o inusuales. La protección de la empresa, concluyó, es un viaje estratégico en el que todos los integrantes de la plantilla deben participar de forma activa y coordinada.