Los hoteles manejan un volumen de datos personales que pocas industrias igualan: nombre completo, pasaporte o DNI, tarjeta de crédito, fechas de estancia, preferencias de habitación y, desde diciembre de 2024, información ampliada exigida por el Real Decreto 933/2021. Todo eso convierte a cualquier establecimiento hotelero en un objetivo atractivo para los ciberdelincuentes.
Y sin embargo, la ciberseguridad en hoteles sigue siendo una asignatura pendiente. Según datos del sector, más del 60 % de los incidentes en hostelería se detectan semanas o meses después de que ocurran. No es un problema de presupuesto: es un problema de no saber por dónde empezar.
Este artículo va dirigido a directores de hotel y responsables de operaciones que necesitan entender qué amenazas son reales, qué exige la normativa y qué medidas técnicas marcan la diferencia — explicado desde la perspectiva de quienes las implementamos, no desde un despacho jurídico.
Por qué los hoteles son un blanco prioritario
Un hotel típico combina varios factores que los atacantes explotan:
Datos de alto valor en tránsito constante. Cada check-in genera un registro con datos personales y financieros. Esos datos se mueven entre el PMS, el channel manager, la pasarela de pago y el sistema de facturación. Cada punto de integración es una superficie de ataque.
Redes WiFi abiertas o mal segmentadas. La mayoría de hoteles ofrecen WiFi gratuito a los huéspedes. Si esa red no está aislada de la red operativa del hotel (recepción, PMS, TPV), un atacante conectado como huésped puede alcanzar sistemas internos.
Personal rotativo y poco formado en seguridad. La hostelería tiene una tasa de rotación alta. Cada nuevo empleado que accede al PMS con credenciales genéricas o que abre un correo de phishing es un vector de entrada.
Múltiples proveedores externos con acceso remoto. El proveedor del PMS, el del channel manager, el de la centralita IP, el del sistema de cerraduras electrónicas — cada uno con su túnel VPN o sus credenciales de acceso. Sin control centralizado, nadie sabe realmente quién entra a qué.
Sistemas heredados que nadie actualiza. Muchos hoteles operan con servidores Windows Server que llevan años sin parches, bases de datos SQL con contraseñas por defecto y switches de red sin firmware actualizado.
Las amenazas que vemos en la práctica
No hablamos de ataques teóricos. Estos son los escenarios que encontramos al auditar hoteles:
Ransomware dirigido al PMS
El atacante cifra la base de datos del sistema de gestión hotelera. El hotel no puede hacer check-in, no puede facturar, no puede consultar reservas. El rescate suele pedirse en fin de semana o en temporada alta, cuando la presión para pagar es máxima.
Lo que lo permite: copias de seguridad inexistentes o en el mismo servidor que el PMS, acceso RDP abierto a internet, contraseñas débiles en cuentas de administrador.
Phishing dirigido a recepción
Un correo que simula ser de Booking.com o del PMS pidiendo “verificar credenciales” o “descargar una factura”. El personal de recepción, acostumbrado a gestionar decenas de correos diarios de estas plataformas, hace clic sin pensarlo.
Lo que lo permite: ausencia de filtrado de correo avanzado, falta de formación específica, no tener autenticación en dos pasos (2FA) en el correo corporativo.
Robo de datos de tarjeta por skimming digital
El atacante inyecta código malicioso en la pasarela de pago web del hotel (si tiene motor de reservas propio) o intercepta datos de tarjeta en un TPV comprometido.
Lo que lo permite: motor de reservas sin certificación PCI DSS, TPV con software desactualizado, red no segmentada donde el tráfico de pago circula por la misma VLAN que el WiFi de huéspedes.
Acceso no autorizado a través de proveedores
Un proveedor externo con credenciales VPN comprometidas permite a un atacante entrar en la red interna del hotel. El atacante se mueve lateralmente hasta llegar al servidor del PMS o al controlador de dominio.
Lo que lo permite: VPNs sin 2FA, credenciales compartidas entre técnicos del proveedor, ausencia de logs de acceso remoto.
Qué exige la normativa (sin jerga legal)
RGPD y LOPDGDD
El hotel es responsable del tratamiento de los datos personales de sus huéspedes. Eso implica:
- Tener un registro de actividades de tratamiento documentado.
- Implementar medidas técnicas y organizativas “adecuadas al riesgo”: cifrado, control de accesos, copias de seguridad, monitorización.
- Notificar a la AEPD cualquier brecha de seguridad en un máximo de 72 horas desde su detección.
- Si la brecha afecta a derechos y libertades de los huéspedes, notificarles también a ellos.
La sanción máxima es de 20 millones de euros o el 4 % de la facturación global. Para un hotel independiente, una sanción de 50.000-100.000 € ya puede ser devastadora.
Real Decreto 933/2021
Desde diciembre de 2024, los establecimientos de hospedaje deben registrar y comunicar a las Fuerzas y Cuerpos de Seguridad del Estado datos ampliados de los huéspedes: no solo nombre y documento, sino también datos de pago, relaciones familiares y datos del contrato.
Esto multiplica la cantidad de datos sensibles que el hotel almacena y, por tanto, la superficie de riesgo. Un hotel que almacene estos datos sin cifrado o en sistemas sin control de acceso está expuesto tanto a sanciones como a robos de información de mayor impacto.
PCI DSS
Si el hotel procesa pagos con tarjeta (y todos lo hacen), debe cumplir con el estándar PCI DSS. Los requisitos clave incluyen segmentar la red donde circulan datos de tarjeta, no almacenar datos de tarjeta completos después de la autorización, mantener un firewall operativo y actualizado, y realizar escaneos de vulnerabilidades trimestrales.
Las medidas técnicas que marcan la diferencia
Estas son las medidas que implementamos en los hoteles que mantenemos, ordenadas por impacto y coste:
1. Segmentación de red
Es la medida más importante y la que más hoteles ignoran. La red del hotel debe tener como mínimo tres segmentos aislados:
- Red operativa: PMS, TPV, back-office, servidores. Solo accesible para el personal autorizado.
- Red de huéspedes: WiFi del hotel, aislada completamente de la red operativa. Con portal cautivo y limitación de ancho de banda.
- Red IoT/sistemas: Cerraduras electrónicas, termostatos inteligentes, cámaras de seguridad. Estos dispositivos raramente reciben actualizaciones de seguridad y son vectores de entrada habituales.
Sin segmentación, un atacante que se conecta al WiFi del lobby puede escanear la red y encontrar el servidor del PMS en minutos.
2. Copias de seguridad con la regla 3-2-1
Tres copias de los datos, en dos soportes diferentes, con una copia fuera del hotel (cloud o datacenter externo). Las copias deben ser automáticas, cifradas y verificadas periódicamente. Si nunca has probado a restaurar una copia, no tienes copias: tienes una falsa sensación de seguridad.
En el caso del PMS, la copia debe incluir la base de datos completa y la configuración del sistema, no solo los archivos del servidor.
3. Autenticación en dos pasos (2FA)
En todos los accesos críticos: correo corporativo, PMS (si lo permite), VPN, panel de administración del router y switches, acceso remoto. Un atacante que robe una contraseña de recepción no debería poder entrar al PMS sin un segundo factor.
4. Gestión de parches y actualizaciones
Un calendario de actualizaciones mensual que cubra: sistema operativo del servidor (Windows Server), firmware de switches y puntos de acceso, software del PMS y channel manager, antivirus y firewalls. Los parches de seguridad críticos deben aplicarse en menos de 72 horas desde su publicación.
5. Monitorización y alertas
Un sistema que detecte y alerte sobre: intentos de acceso fallidos repetidos, conexiones desde IPs o países inusuales, cambios en archivos del sistema, tráfico de red anómalo entre segmentos. No hace falta un SOC de un millón de euros: soluciones como Wazuh (open source) o servicios gestionados de monitorización cubren las necesidades de un hotel a un coste razonable.
6. Control de acceso de proveedores
Cada proveedor externo debe tener credenciales propias (no compartidas), acceso limitado al segmento de red que necesita, sesiones con caducidad temporal, y logs de toda su actividad. Si un proveedor necesita acceso puntual, se le abre una ventana temporal y se cierra después.
7. Formación del personal
No un curso genérico de “no hagas clic en enlaces sospechosos”. Formación práctica y específica: cómo identificar un correo que simula ser de Booking.com, qué hacer si un huésped pide datos por teléfono haciéndose pasar por otro huésped, protocolo si detectan algo raro en el sistema. Sesiones cortas (30 minutos), trimestrales, con ejemplos reales del sector hotelero.
Lista de comprobación rápida
Si gestionas un hotel, responde a estas preguntas. Cada “no” es un riesgo activo:
- ¿La WiFi de huéspedes está completamente aislada de la red donde opera el PMS?
- ¿Tienes copias de seguridad automáticas del PMS que se almacenan fuera del hotel?
- ¿Has probado a restaurar esas copias en los últimos 6 meses?
- ¿El acceso al PMS y al correo corporativo tiene autenticación en dos pasos?
- ¿Cada proveedor externo tiene sus propias credenciales de acceso, no compartidas?
- ¿El servidor del PMS tiene Windows Server actualizado con los últimos parches?
- ¿Tienes un registro documentado de quién accede a qué datos y cuándo?
- ¿El personal de recepción ha recibido formación sobre phishing en el último año?
Si has respondido “no” a tres o más, tu hotel tiene vulnerabilidades que un atacante podría explotar. No es alarmismo: es la realidad del sector.
Cómo podemos ayudarte
En ORSL llevamos más de 25 años manteniendo la infraestructura IT de hoteles. No somos una consultora que te entrega un informe y se va: somos el equipo técnico que implementa las medidas, monitoriza los sistemas y responde cuando hay una incidencia a las 3 de la mañana de un sábado.
Si quieres saber en qué punto está la seguridad de tu hotel, solicita una consulta gratuita. Revisamos tu infraestructura, identificamos los riesgos concretos y te proponemos un plan de acción con prioridades y costes claros.
Artículos relacionados:
