Reservar unas vacaciones implica, en la mayoría de los casos, facilitar tus datos personales a más de una empresa. Los vuelos, los hoteles, la renta de autos, las plataformas de reservaciones, los tours y actividades suelen requerir los datos de los viajeros, lo que genera un historial de información en múltiples servicios.
Una nueva investigación conjunta de NordVPN y Saily, la app eSIM de viajes, revela la magnitud de esa exposición. Entre enero de 2021 y agosto de 2026, los investigadores de NordLayer Intelligence identificaron 119.4 millones de registros de viajeros en 494 filtraciones vinculadas al sector turístico. Estas filtraciones afectaron a aerolíneas, hoteles, plataformas de reservaciones, empresas de renta de autos, cruceros, trenes, tours y actividades.
Vulnerabilidades en el ecosistema digital de los viajes
“Actualmente el sector de los viajes es un ecosistema interconectado y cada compañía con la que compartes tu información representa un riesgo potencial”, explica Marijus Briedis, CTO de NordVPN. “No es solo cuestión de cuántos datos de viajeros se ven comprometidos, sino el tipo de información que incluyen esas filtraciones. Puedes cambiar una contraseña rápidamente después de un incidente, pero hay datos como tu nombre, fecha de nacimiento u otra información de identidad que son imposibles de modificar, pues están vinculados a ti de por vida”.
La investigación demuestra lo detallada que puede ser la información de viajes expuesta en filtraciones. De los casos analizados, el 92% contenía nombres completos, el 87% números de teléfono y el 78% direcciones. Más de la mitad almacenaba fechas de nacimiento (55%), mientras que el 46% incluía contraseñas. El 19% tenía datos de nacionalidad y el 11%, información de identificación oficial.
Patrones de riesgo en plataformas y aerolíneas
La combinación de todos estos datos puede ofrecer un perfil completo de una persona que el que ofrecerían un correo y una contraseña filtrados. Las empresas del sector turístico no solo saben cómo contactar a un cliente, sino también dónde vive, su fecha de nacimiento y otros detalles personales. E incluso cuando dejas de usar una cuenta, esos datos pueden quedarse guardados en sus sistemas por mucho tiempo.
“Un viajero suele usar un servicio temporalmente, pero el vínculo entre esa empresa y sus datos puede durar más de lo esperado”, afirma Vykintas Maknickas, CEO de Saily. “Puedes reservar una actividad una sola vez y nunca volver a esa página web, mientras que los datos que compartiste pueden quedarse en sus sistemas por años. Esto hace que los servicios turísticos de un solo uso sean fáciles de olvidar, pero no por ello dejan de ser importantes para tu privacidad a largo plazo”. La investigación identifica dos patrones de riesgo muy distintos en el sector turístico.
Comparativa de incidentes y alcance en el sector
Las plataformas de reservaciones, las agencias de viajes online y los proveedores de tours y actividades representaron el 55.5% del total de las filtraciones analizadas. Este grupo abarca agencias pequeñas, operadores de tours regionales y empresas de actividades y experiencias, que en ocasiones dependen de plataformas online obsoletas o con mantenimiento deficiente.
Las aerolíneas ocupan el polo opuesto en este espectro. Los investigadores identificaron solo 21 filtraciones en aerolíneas, pero cada una expuso, en promedio, alrededor de 1.2 millones de registros. Las filtraciones en plataformas de reservaciones, agencias de viajes online, tours y actividades dejaron al descubierto un promedio de unos 107,000 registros por incidente.
Estrategias de protección y gestión de la huella digital
Esto muestra que las plataformas de reservaciones y tours registraron alrededor de 13 veces más incidentes, mientras que una filtración en aerolíneas expuso, en promedio, más de 11 veces la cantidad de registros.
Las cifras generales también indican que el problema no se limita a un solo segmento del sector turístico. Las empresas de renta de autos, cruceros y trenes representaron el 27.7% de los datos expuestos analizados; las empresas de reservaciones y excursiones, el 24.6%; los hoteles y resorts, el 23.7%; y las aerolíneas, el 21.2%.
Recomendaciones clave para resguardar la identidad del usuario
“Que una empresa sea grande o pequeña no determina el nivel de riesgo para los viajeros”, explica Briedis. “Las empresas pequeñas son un blanco más fácil para los ciberdelincuentes, pero una sola filtración en una aerolínea grande puede comprometer los datos de millones de personas. Para los viajeros, lo importante es tener presente que la seguridad de sus datos está ligada de varias formas a cada empresa con la que interactúan”.
Aunque los viajeros no pueden controlar la forma en que cada empresa protege sus sistemas, sí pueden decidir qué información personal comparten al usar servicios de viaje.
Metodología del análisis sobre filtraciones en la industria
Los expertos de NordVPN y Saily recomiendan evitar crear cuentas de viaje innecesarias, usar contraseñas únicas y activar la verificación en dos pasos siempre que sea posible. Además, sugieren eliminar los datos de pago o identidad almacenados cuando ya no sean necesarios. Por otra parte, antes de compartir imágenes de pasaportes u otros documentos de identidad, los viajeros deben asegurarse de que el servicio realmente requiere esa información.
“Al volver a casa, revisa las cuentas de reservaciones, tours, renta de autos y otros servicios de viaje que hayas usado. Elimina cualquier cuenta que ya no uses y solicita al proveedor del servicio que elimine los datos personales asociados a ellas. Esto ayuda a reducir la información que queda almacenada en servicios que quizá nunca vuelvas a usar”, explica Maknickas.
Metodología. Los investigadores de NordVPN y Saily realizaron la investigación con base en datos analizados en NordLayer Intelligence, su plataforma de gestión de exposición a amenazas. Los investigadores examinaron datos históricos de filtraciones de datos desde el 1 de enero de 2021 hasta el 18 de agosto de 2026 e identificaron incidentes en aerolíneas, hoteles y resorts, agencias de viajes online, proveedores de tours y actividades, programas de fidelización y empresas de renta de autos, cruceros y trenes. Cada incidente se clasificó según el nombre, dominio y descripción de la organización afectada. Los casos de mayor impacto se verificaron individualmente y los falsos positivos fueron descartados. El alcance de las filtraciones se calculó en función del número de direcciones de correo electrónico únicas expuestas, lo que sumó un total de 119.4 millones de registros de viajeros en 494 filtraciones vinculadas al sector turístico. Los resultados reflejan las filtraciones observadas en los datos de NordLayer Intelligence y no representan el alcance global total de las filtraciones de datos en el sector turístico.
