Ciberseguridad: ¿Qué pasa con los datos personales después de viajar?

La investigación, realizada mediante NordLayer Intelligence, analizó incidentes ocurridos entre enero de 2021 y agosto de 2026, y reveló diferencias significativas tanto en la frecuencia de las brechas de seguridad como en la cantidad de información comprometida.

Los resultados también plantean interrogantes sobre la gestión de datos personales en la industria turística, especialmente cuando una reserva involucra a varias empresas que recopilan y conservan información de sus clientes.

Ciberseguridad en turismo: ¿qué sectores registran más filtraciones?

Durante el periodo analizado, los investigadores identificaron 119.433.433 registros comprometidos, con variaciones considerables entre los años.

En 2021 se contabilizó el mayor número de incidentes, con 278 filtraciones y 37.4 millones de registros expuestos, principalmente en plataformas de reservas de menor tamaño. Aunque en 2022 y 2023 las brechas disminuyeron a 43 y 23 casos, respectivamente, la información afectada alcanzó 21.9 millones y casi 30 millones de registros.

Por su parte, 2024 registró 74 incidentes que involucraron 8,1 millones de registros, mientras que en 2025 se identificaron 40 filtraciones y 12.1 millones de datos comprometidos. Entre enero y agosto de 2026, el análisis documentó 36 casos y 9.9 millones de registros expuestos.

Al examinar la distribución de los incidentes por segmento turístico, el estudio encontró los siguientes resultados:

• Plataformas de reservas, agencias de viajes online (OTAs), tours y actividades: concentraron 274 incidentes, equivalentes al 55.5% del total, con 29.4 millones de registros comprometidos.

• Alquiler de vehículos, cruceros y trenes: acumularon la mayor cantidad de información afectada, con 33.2 millones de registros (27.7%), distribuidos en 49 incidentes.

• Hoteles y resorts: contabilizaron 147 filtraciones y 28.3 millones de registros expuestos (23.7%).

• Aerolíneas: registraron 21 incidentes que comprometieron 25.3 millones de registros (21.2%), con un promedio de 1,2 millones por caso.

• Programas de fidelización: sumaron tres incidentes y 3.4 millones de registros afectados (2.8%).

Estas cifras evidencian que una menor cantidad de incidentes no necesariamente implica un riesgo inferior. Mientras las plataformas de reservas concentraron más de la mitad de las brechas identificadas, las aerolíneas registraron el mayor promedio de información comprometida por evento.

¿Qué información personal de los viajeros quedó expuesta?

Las filtraciones abarcaron desde credenciales de acceso hasta datos de identificación personal que resultan difíciles de modificar una vez comprometidos, lo que puede aumentar la exposición a fraudes, suplantación de identidad y mensajes engañosos.

Entre las categorías de información identificadas se encuentran:

• Correos electrónicos: en el 100% de los incidentes analizados.

• Nombres completos: en el 92% de los casos.

• Números telefónicos y direcciones físicas: en el 87% y 78%, respectivamente.

• Fechas de nacimiento y género: en el 55% y 53%.

• Contraseñas: en el 46% de las filtraciones.

• Nacionalidad y documentos de identidad: en el 19% y 11%.

Estos porcentajes indican la proporción de incidentes en los que apareció cada tipo de información y no representan el porcentaje de viajeros afectados.

Uno de los riesgos identificados por NordVPN y Saily está relacionado con las cuentas creadas para contratar servicios turísticos de manera ocasional, como excursiones, alquiler de vehículos o reservas en plataformas secundarias.

Aunque el viajero deje de utilizar estos servicios, sus datos pueden permanecer almacenados durante años, según las políticas de conservación de cada empresa. Esta situación aumenta la exposición potencial de información que el usuario posiblemente ya no recuerda haber compartido.

El problema adquiere relevancia cuando una misma persona entrega sus datos a múltiples proveedores durante un viaje, pues cada sistema constituye un punto adicional que requiere medidas de protección.

Seis recomendaciones para proteger los datos al reservar viajes

Ante este panorama, los especialistas de NordVPN recomiendan adoptar prácticas de seguridad digital que reduzcan la exposición de información personal durante la planificación y contratación de servicios turísticos:

• Evitar registros innecesarios: realizar reservas como invitado cuando sea posible, sin crear cuentas que posteriormente queden inactivas.

• Utilizar contraseñas únicas y autenticación en dos pasos: reducir el riesgo de accesos no autorizados y evitar que una filtración comprometa otras cuentas.

• Eliminar información financiera almacenada: retirar tarjetas, métodos de pago y documentos de identificación cuando ya no sean necesarios.

• Verificar las solicitudes de documentos personales: comprobar por qué se requieren pasaportes o cédulas, cómo serán utilizados y si su entrega es obligatoria.

• Revisar cuentas antiguas: identificar perfiles creados en hoteles, OTAs y otros proveedores, eliminar los que no se utilicen y solicitar la supresión de datos cuando corresponda.

• Prevenir intentos de phishing: desconfiar de mensajes inesperados relacionados con reservas anteriores, especialmente aquellos que soliciten pagos, contraseñas o verificaciones de identidad.

Para las agencias de viajes y demás empresas turísticas, los resultados evidencian la importancia de revisar sus procedimientos de seguridad y las prácticas de los proveedores con los que comparten información. La protección de los datos personales debe abarcar todo el proceso de reserva, prestación del servicio y posterior eliminación, como parte de la relación de confianza con los viajeros.