Si te has alojado recientemente en un hotel de Latinoamérica o España, es posible que los datos de tu tarjeta de crédito estén en riesgo. Entre junio y agosto de 2025, el Equipo Global de Investigación y Análisis de Kaspersky (GReAT) descubrió una nueva ola de ciberataques realizados por un grupo de amenazas llamado RevengeHotels, que apunta a hoteles para robar información de tarjetas de crédito de los huéspedes.
Lee también: Sam Altman, creador de ChatGPT, advierte cuál será el primer empleo reemplazado por la inteligencia artificial
El grupo, activo desde 2015, había permanecido sin actividad notoria hasta ahora, cuando los expertos de GReAT identificaron una campaña que marca su reaparición con una mejora de sus métodos, como el uso de Inteligencia Artificial para que los ataques sean más efectivos y puedan expandirse a otras regiones.
Aunque los hoteles brasileños son el principal objetivo de la nueva campaña, la actividad también se ha extendido a países hispanohablantes como Argentina, Bolivia, Chile, Costa Rica, México y España. A comienzos de este año se observó otra campaña del mismo actor dirigida a usuarios en Rusia, Bielorrusia, Turquía, Malasia, Italia y Egipto.
El modus operandi del ataque y el uso de IA
El actor de amenazas utiliza correos de phishing disfrazados de pedidos de reservación o, en algunos casos, de falsas solicitudes de empleo, en las que los atacantes envían currículums para intentar explotar posibles ofertas de trabajo en los hoteles objetivo. El enlace incluido en los documentos adjuntos engaña al usuario para instalar un Troyano de Acceso Remoto (RAT) que permite a los atacantes controlar los sistemas comprometidos y robar información sensible. Para realizar la infección, los atacantes se apoyan en servicios de alojamiento legítimos, a menudo registrando dominios con temática portuguesa.
Cuando un empleado abre estos correos, se instala un malware llamado VenomRAT en los sistemas del hotel, dando a los atacantes acceso a los datos de pago de los huéspedes y otra información sensible. VenomRAT se distribuye en recursos de la dark web, con licencias que pueden alcanzar los 650 dólares. De acuerdo con el análisis de los expertos de Kaspersky, las muestras de muchos de los infectores iniciales recién creados por RevengeHotels incluyen código que probablemente fue generado mediante IA.
“Los ciberdelincuentes están usando cada vez más la IA para crear nuevas herramientas y hacer que sus ataques sean más efectivos. Esto hace que incluso los métodos conocidos, como los correos de phishing, sean más difíciles de detectar para usuarios comunes. Para los huéspedes de hoteles, esto significa un mayor riesgo de robo de datos de tarjetas y otra información personal, que se venderán en la dark web”, comenta Lisandro Ubiedo, analista sénior de seguridad en Kaspersky.
Consejos de protección para huéspedes y hoteles
Los expertos de Kaspersky recomiendan una serie de medidas para protegerse de estos ciberataques:
Para los huéspedes:
- Antes de hacer una reservación, verifica si el hotel cumple con los principales estándares de seguridad, como ISO o PCI DSS.
- Utiliza una solución de seguridad confiable en todos tus dispositivos.
- Haz una búsqueda rápida en internet de reseñas o noticias recientes del hotel donde te hospedarás.
- Considera usar una dirección de correo electrónico y un número de teléfono secundarios solo para tus viajes.
- Opta por usar una tarjeta de crédito con un límite menor o usa tarjetas virtuales cuando sea posible.
Para los hoteles:
- Verificar que la infraestructura del hotel cumpla con estándares internacionales de seguridad digital y privacidad de datos.
- Implementar sistemas de pago con autenticación avanzada como 3D Secure, tokenización o pasarelas seguras.
- Monitorear reseñas, foros y noticias relacionadas con el hotel o la cadena.
- Utilizar cuentas de correo y líneas telefónicas distintas para operaciones internas, reservas corporativas y uso personal de colaboradores.
- Evitar el uso de software obsoleto en procesos críticos ya que sistemas desactualizados representan puertas de entrada fáciles para ataques de ransomware o robo de datos.
- Instruir al personal para que pregunte y reporte actividades sospechosas como correos extraños, solicitudes inusuales de datos de clientes o comportamientos anómalos en sistemas.