Cuando reservas unas vacaciones, la mayoría de las veces facilitas tus datos personales a más de una empresa. Los vuelos, los hoteles, los coches de alquiler, las plataformas de reservas, excursiones y actividades pueden requerir los datos del viajero, lo que genera un rastro de datos personales a lo largo de una amplia gama de servicios.
Una nueva investigación conjunta de NordVPN y Saily, la app eSIM de viajes, revela la magnitud de esa exposición. Los investigadores de NordLayer Intelligence detectaron 119,4 millones de registros de viajeros en 494 filtraciones relacionadas con el sector turístico entre enero de 2021 y agosto de 2026, que abarcaban aerolíneas, hoteles, plataformas de reservas, excursiones y actividades, así como empresas de alquiler de coches, de cruceros y de transporte ferroviario.
«Viajar se ha convertido en un ecosistema muy interconectado y cada empresa con la que compartes información se convierte en otro posible punto de exposición. El problema no es solo cuántos datos de viajeros se filtran habitualmente, sino qué contiene esa información. Una contraseña se puede cambiar rápidamente tras una filtración, mientras que datos como tu nombre, fecha de nacimiento u otra información de identidad suelen ser imposibles de cambiar, ya que estarán asociados a tu persona toda la vida», afirma Marijus Briedis, director de Tecnología de NordVPN.
La investigación muestra el alto nivel de detalle que pueden tener los datos expuestos de los viajeros. De las filtraciones analizadas, el 92 % contenía nombres completos, el 87 % números de teléfono y el 78 % direcciones. Más de la mitad contenía fechas de nacimiento (55 %), mientras que el 46 % incluía contraseñas. La nacionalidad aparecía en el 19 % de los casos y los datos de documentos nacionales de identidad en el 11 %.
En conjunto, estos datos pueden proporcionar mucha más información sobre una persona que una simple dirección de correo electrónico y una contraseña filtradas. Las empresas del sector turístico pueden saber no solo cómo ponerse en contacto con un cliente, sino también dónde vive, su fecha de nacimiento y otros datos relacionados con su identidad.
Esa información puede permanecer almacenada mucho tiempo después del viaje, o incluso después de que la propia cuenta afectada haya caído en el olvido.
«Puede que un viajero contrate un servicio de forma temporal, pero la relación de ese servicio con sus datos quizá no sea tan provisional. Tal vez reserves una actividad una sola vez y no vuelvas nunca más a esa página web, pero la información que has facilitado puede permanecer en el sistema del proveedor durante años. Por eso es fácil olvidarse de los servicios de viaje puntuales, aunque eso no significa que no sean importantes para tu privacidad a largo plazo», comenta Vykintas Maknickas, CEO de Saily.
La investigación revela dos patrones de riesgo muy distintos en el sector turístico.
Las plataformas de reservas, las agencias de viajes on line, los turoperadores y los proveedores de actividades representaron el 55,5 % del total de las filtraciones analizadas. Este grupo incluye agencias más pequeñas, turoperadores regionales y empresas dedicadas a actividades y experiencias, que en ocasiones pueden recurrir a plataformas on line más antiguas o con un mantenimiento deficiente.
Las aerolíneas se sitúan en el extremo opuesto del espectro. Los investigadores solo detectaron 21 filtraciones en aerolíneas, pero cada una de ellas dejó al descubierto una media de alrededor de 1,2 millones de datos. Las filtraciones en plataformas de reservas, agencias de viajes online, excursiones y actividades dejaron al descubierto una media de unos 107.000 registros por incidente.
Esto implica que la categoría de reservas y excursiones sufrió unas trece veces más filtraciones, mientras que, en el caso de las aerolíneas, cada filtración expuso, de media, más de once veces esa cantidad de datos.
Las cifras generales también muestran que el problema no se limita a un único ámbito del sector turístico. Las empresas de alquiler de coches, de cruceros y de transporte ferroviario representaron el 27,7 % de los datos expuestos que se observaron; las empresas de reservas y excursiones, el 24,6 %; los hoteles y resorts, el 23,7 %; y las aerolíneas, el 21,2 %.
Para Briedis, «los viajeros no pueden ser conscientes del riesgo al que se exponen con solo saber el tamaño de una empresa. Un proveedor más pequeño puede ser un objetivo más fácil para los delincuentes, mientras que una sola filtración en una de las principales aerolíneas puede dejar al descubierto la información de millones de personas. Desde el punto de vista del viajero, lo importante es recordar que la seguridad de sus datos depende, de un modo u otro, de cada una de las empresas de la cadena».
Los viajeros no pueden controlar cómo protege cada empresa sus sistemas, pero sí pueden limitar la cantidad de datos personales que facilitan a los distintos servicios de viajes.
Los expertos de NordVPN y Saily recomiendan evitar crear cuentas innecesarias, usar contraseñas únicas y la autenticación multifactor siempre que sea posible, además de eliminar la información de pago o de identidad guardada cuando ya no sea necesaria. Los viajeros también deben tener especial cuidado antes de subir fotos de sus pasaportes u otros documentos de identidad y comprobar si el servicio realmente requiere esa información.
«Cuando vuelvas a casa, revisa las cuentas de reservas, excursiones, alquileres y otros gastos de viaje que usaste. Elimina las que ya no necesites y solicita al proveedor del servicio que borre los datos personales asociados a ella. Esto puede ayudar a reducir la cantidad de información que se queda almacenada en servicios que quizá nunca vuelvas a usar», explica Maknickas.
Otros estudios aquí
