Seguridad para agencias de viajes y turoperadores: datos, pagos y acceso al GDS
Las agencias de viajes y los turoperadores manejan datos personales en todas las fases de un viaje. Esta guía explica cómo identificar los datos que tienes, proteger los accesos, resguardar la información de pago, revisar a tus socios tecnológicos y prepararte para un incidente de seguridad.
Dónde empieza el riesgo
Dónde empiezan los problemas de seguridad en una agencia de viajes
La mayoría de los incidentes de seguridad empiezan con una tarea de viajes habitual. Un cliente nuevo pide con urgencia una reserva de grupo. Un proveedor envía una solicitud de pago. Un mensaje avisa de que tu acceso al GDS ha caducado. Un antiguo colaborador sigue teniendo acceso a un sistema que tu equipo usa a diario.
Estas situaciones generan presión porque tu equipo quiere ayudar al viajero y proteger la reserva. Con esa presión es fácil saltarse un paso de verificación o introducir las credenciales en una página falsa.
Además, los datos de viaje cuentan mucho sobre una persona. Pueden indicar adónde piensa ir, cuándo estará fuera, con quién viaja y cómo contactarla. Un itinerario familiar, una reserva de viajes corporativos y el expediente de un circuito en grupo pueden contener cada uno tipos distintos de datos personales.
Exposición
Cinco puntos de exposición que conviene buscar en una reserva
Sigue una reserva a lo largo de tu flujo de trabajo
- Un viajero o una empresa nuevos piden un gran volumen de billetes antes de que puedas verificar a quién representan.
- Un correo enlaza a una página de acceso que imita a tu GDS, a tu proveedor de pagos o al portal de un proveedor.
- Copias de pasaportes, datos de pago o itinerarios vigentes se quedan en bandejas de correo, hojas de cálculo o carpetas compartidas.
- Una sucursal, un agente externo, un proveedor o un antiguo empleado sigue teniendo acceso a los sistemas de reservas.
- Un ataque de ransomware bloquea los itinerarios y los datos de contacto que tu equipo necesita para atender a los viajeros.
Cada uno de estos problemas afecta a algo más que a la privacidad. Puede provocar emisión de billetes no autorizada, contracargos, debit memos, avisos a clientes, pérdida de tiempo e interrupciones durante un viaje en curso.
Una amenaza propia del sector de los viajes
Solicitudes falsas de viajeros y robo de cuentas GDS
Además de las filtraciones de datos, las agencias de viajes se enfrentan a otro tipo de incidente de seguridad: un estafador puede usar una solicitud falsa de un cliente o unas credenciales GDS robadas para que la agencia emita billetes desde su propia cuenta.
En 2026, Airlines Reporting Corporation (ARC) informó de un aumento de la actividad relacionada con accesos no autorizados a GDS. ARC describió dos vías de entrada a una agencia: un estafador se hace pasar por una agencia legítima para obtener acceso al GDS, o un mensaje de phishing captura las credenciales de un agente. Una vez obtenido el acceso, el estafador puede emitir billetes a través de la cuenta de la agencia sin autorización.
ARC también informó de sitios falsos de Sabre Agency Workspace y de formación diseñados para robar las credenciales de los agentes. Las páginas parecían portales de viajes de confianza, pero los enlaces llevaban a dominios casi idénticos. Una página GDS falsa puede dar al atacante un acceso válido sin que el proveedor del GDS haya sufrido ninguna brecha.
Solicitudes de reserva falsas: la urgencia oculta una verificación débil
ARC ha advertido a las agencias sobre solicitudes falsas de viajes corporativos y en grupo que incluyen salidas inmediatas, emergencias médicas, datos de pago incompletos, rutas poco habituales y peticiones de saltarse los controles habituales.
Haz una pausa cuando un cliente nuevo pida un gran volumen de billetes antes de que puedas verificar la empresa, los viajeros, el itinerario y el pago.
Sitios GDS falsos: un logotipo conocido puede esconder una página de acceso robada
Los mensajes de phishing pueden afirmar que una cuenta GDS ha caducado, que una reserva necesita verificación o que un espacio de trabajo requiere una reautenticación urgente. El enlace puede llevar a un portal falso de Sabre o de la agencia.
Utiliza un marcador de confianza o escribe a mano la dirección del proveedor. No inicies sesión desde un enlace inesperado de un correo electrónico.
Acceso de terceros: puede que la puerta de entrada no sea tu propio sistema
ARC informó de un caso en el que se emitieron billetes no autorizados tras vulnerarse la seguridad de una sucursal externa, aunque el sistema de emisión de la propia agencia no se había visto comprometido directamente.
Revisa los accesos de sucursales, colaboradores externos, agentes externos, proveedores y antiguos empleados. Elimínalos cuando termine la relación o el puesto.
Antes de emitir un billete, tu equipo debe responder a dos preguntas: «¿Esta solicitud procede de un cliente real?» y «¿Este acceso llega al GDS auténtico?». Incorpora ambas comprobaciones al flujo de trabajo.
01
Mapea los datos que gestiona tu agencia
No se puede proteger la información que no se sabe dónde está. Empieza con un mapa de datos sencillo. Sigue una reserva desde la primera consulta hasta la atención posterior al viaje y anota cada sistema, persona y proveedor que interviene.
Preguntas
Hazte estas preguntas con cada tipo de dato
- ¿Qué información recogemos?
- ¿Para qué la necesitamos?
- ¿Dónde la almacenamos?
- ¿Quién puede verla, modificarla, descargarla o compartirla?
- ¿Qué proveedores o plataformas la reciben?
- ¿Cuándo debemos eliminarla?
Sistemas
Incluye los sistemas que tu equipo usa a diario
- Correo electrónico, CRM y GDS
- Plataforma de mid-office y software de contabilidad
- Proveedor de pagos, unidades compartidas y hojas de cálculo
- Software de itinerarios, apps y portales de proveedores
Después, agrupa la información según su nivel de riesgo. El contenido de destino público necesita una protección distinta a la de los datos de pasaporte, la información de pago o el contacto de emergencia de un viajero corporativo. Cuanto más restringido sea el dato, menos puntos de acceso debe tener.
Revisa qué conserva tu equipo. Las copias antiguas de pasaportes, las hojas de cálculo duplicadas, los archivos de reservas descargados y los adjuntos de correo aumentan la exposición. Define un plazo de conservación para cada categoría y elimina la información cuando ya no la necesites, respetando las normas legales y contractuales que se apliquen en tu mercado.
02
Protege las cuentas y los accesos
Una cuenta comprometida da a los atacantes acceso directo a los datos de reservas, las conversaciones por correo, los flujos de pago y los archivos de clientes. Protege cada cuenta con controles que tu equipo pueda aplicar de forma constante.
Exige autenticación multifactor
Activa la autenticación multifactor en el correo, el CRM, el almacenamiento en la nube, los sistemas de reservas, las herramientas de pago, las cuentas de administrador y cualquier plataforma que la admita. Una contraseña robada no debería ser la única llave de un sistema de la empresa.
Utiliza autenticación resistente al phishing cuando el proveedor la ofrezca. Si no existe esa opción, usa una aplicación de autenticación o una llave de seguridad en lugar de depender solo de mensajes de texto.
Da a cada persona una cuenta individual
No compartas las credenciales de una cuenta genérica de la agencia. Las cuentas individuales permiten saber quién ha accedido a un registro, cambiar los permisos cuando alguien cambia de puesto y retirar el acceso cuando un empleado o colaborador externo se marcha.
Concede a cada persona el acceso que necesita para su trabajo. Un coordinador de ventas puede necesitar ver los datos de los viajeros, mientras que un administrador puede necesitar gestionar la configuración.
Usa un gestor de contraseñas
Un gestor de contraseñas ayuda a tu equipo a crear contraseñas únicas y a compartir accesos mediante cajas fuertes controladas, en lugar de hacerlo por correo o en hojas de cálculo. No reutilices nunca la contraseña de tu correo en un proveedor o en una plataforma de reservas.
Revisa los accesos al menos dos veces al año y después de cada cambio de puesto. Elimina a antiguos empleados, colaboradores externos que ya no trabajan contigo, integraciones sin uso y cuentas que ya no respaldan ningún proceso activo.
GDS
Protege el acceso al GDS y a la emisión de billetes
- Activa la autenticación multifactor siempre que el GDS o el servicio conectado la admitan.
- Verifica a los nuevos clientes corporativos con datos de contacto que encuentres por tu cuenta, no solo mediante la solicitud recibida por correo.
- Revisa con frecuencia la actividad de emisión, sobre todo en salidas próximas, rutas inusuales, reservas solo de ida, perfiles de viajero nuevos y aumentos repentinos de volumen.
- Revoca el acceso cuando un empleado, colaborador, sucursal o proveedor deje de trabajar con tu agencia.
- Si alguien introduce sus credenciales en una página sospechosa, restablece la contraseña, vuelve a registrar el MFA, analiza el dispositivo y contacta de inmediato con el GDS y con ARC.
03
Forma a tu equipo para detectar ataques reales
La mayoría de las agencias de viajes reciben mensajes que resultan familiares: la factura de un proveedor, una solicitud de cambio de vuelo, un enlace de pago de un hotel o un mensaje urgente de un directivo. Los atacantes se sirven de esas situaciones cotidianas para generar presión.
Pausa
Enseña a tu equipo a detenerse cuando un mensaje pida
- Una contraseña, un código de un solo uso o un dato de pago
- Un cambio en los datos bancarios de un proveedor
- Una transferencia o un reembolso urgente
- Una copia del pasaporte o una lista de clientes
- Un enlace para iniciar sesión en un sistema de reservas o de pagos
Verifica las solicitudes sensibles por un canal conocido. Llama al proveedor a un número que ya conste en tus registros, no al que aparece en el mensaje. Comunica cuanto antes los mensajes sospechosos para que tu equipo pueda avisar al resto de compañeros.
CISA recomienda que las pequeñas y medianas empresas incluyan en sus prácticas básicas de seguridad la concienciación sobre el phishing, las contraseñas seguras, la autenticación multifactor y las actualizaciones de software. Estos controles ofrecen a una agencia de viajes un punto de partida útil sin necesidad de contar con un gran equipo técnico.
04
Protege los dispositivos y el software de la empresa
Tu equipo puede acceder a los datos de viaje desde portátiles, móviles, tabletas y redes domésticas. Define un estándar mínimo para todos los dispositivos que se conecten a los sistemas de la empresa.
Estándar
Un estándar mínimo para todos los dispositivos
- Instala sin demora las actualizaciones del sistema operativo y de las aplicaciones.
- Activa el cifrado completo del disco en portátiles y dispositivos móviles.
- Usa el bloqueo automático de pantalla tras un breve periodo de inactividad.
- Mantén activa la protección contra malware y restringe los privilegios de administrador.
- Separa las cuentas de empresa de las personales siempre que sea posible.
- Evita descargar archivos de clientes en dispositivos personales no gestionados.
- Retira el acceso a los dispositivos perdidos y bórralos de forma remota cuando la tecnología lo permita.
Revisa todas las integraciones conectadas a tus sistemas principales. Un conector antiguo o una automatización sin uso pueden conservar el acceso mucho después de que termine el proyecto original. Mantén una lista de integraciones con su finalidad, su responsable y los datos que pueden leer o enviar.
05
Trata con cuidado los datos de pago
Los datos de pago merecen un proceso propio. No incluyas números completos de tarjeta ni códigos de seguridad en correos, chats, hojas de cálculo, documentos de itinerario, capturas de pantalla o carpetas compartidas.
Proveedor
Usa formularios de pago alojados o tokenización
Cuando un proveedor almacena los datos de la tarjeta, confirma qué debe seguir haciendo tu agencia y qué obligaciones de PCI DSS se aplican. El PCI Security Standards Council explica que PCI DSS se aplica a las entidades que almacenan, procesan o transmiten datos de cuentas de pago, así como a los sistemas que pueden afectar a su seguridad.
Norma para el equipo
Da al equipo una regla clara para las solicitudes de pago
El cliente debe saber qué página de pago utilizar, y tu equipo debe saber cómo identificar un mensaje de pago legítimo. Mantén los datos de tarjeta fuera del flujo de trabajo del itinerario siempre que el proceso lo permita.
06
Comprueba la seguridad de tus socios tecnológicos
Una agencia puede aplicar buenas prácticas internas y aun así heredar el riesgo de un proveedor. Revisa los sistemas que gestionan datos de viajeros, datos de pago, documentos y datos de localización.
Pregunta a cada proveedor tecnológico importante:
| Pregunta | Qué quieres saber |
|---|---|
| ¿Cómo cifráis los datos? | Protección durante la transmisión y mientras el proveedor los almacena |
| ¿Cómo inician sesión los usuarios? | MFA, SSO, reglas de contraseña y controles de bloqueo de cuentas |
| ¿Cómo limitáis el acceso de vuestro personal? | Roles, mínimo privilegio, revisiones de acceso y controles de administrador |
| ¿Cómo os recuperáis de un incidente? | Frecuencia de las copias de seguridad, puntos de recuperación, pruebas de restauración y continuidad del negocio |
| ¿Cómo probáis el servicio? | Pruebas independientes, gestión de vulnerabilidades y prácticas de publicación segura |
| ¿Dónde alojáis y procesáis los datos? | Regiones, subencargados del tratamiento, transferencias internacionales y garantías contractuales |
| ¿Qué ocurre al finalizar el contrato? | Exportación de datos, eliminación, conservación y confirmación del borrado |
| ¿Cómo avisaréis a los clientes? | Contactos de incidentes, proceso de respuesta y compromisos de notificación |
Solicita la documentación de seguridad del proveedor, sus condiciones de privacidad, el contrato de encargado del tratamiento y la lista de subencargados. Considera las certificaciones como una parte de la revisión. Aun así, debes entender cómo opera el proveedor el servicio concreto que utilizará tu agencia.
07
Haz copias de seguridad y prueba la recuperación
Las copias de seguridad ayudan a recuperarse de un ransomware, un borrado accidental, un fallo del sistema u otros incidentes. Solo sirven si incluyen la información que necesita tu equipo y si puedes restaurarla.
Identifica tus sistemas críticos
En una agencia de viajes, estos sistemas pueden incluir los registros de reservas, los itinerarios en curso, los datos de contacto de los viajeros, las confirmaciones de proveedores, los registros financieros y el historial de atención al cliente.
Define un objetivo de recuperación
Decide cuántos datos recientes podrías permitirte perder y con qué rapidez debe retomar la actividad tu equipo. Protege las copias frente a las cuentas de uso diario y asegúrate de que un atacante no pueda borrar todas con un solo acceso comprometido.
Prueba una restauración cada año
Prueba una restauración al menos una vez al año. Pide a alguien que abra los archivos recuperados y confirme que el equipo podría usarlos en una incidencia real. Registra el resultado y corrige las carencias mientras el ejercicio está reciente.
08
Prepara un plan de respuesta a incidentes
Un plan de incidentes reduce la confusión cuando tu equipo tiene poca información y poco tiempo. Haz una primera versión lo bastante breve para que todos puedan usarla. Anota:
Plan
Qué debe cubrir tu plan de incidentes
- Quién dirige la respuesta y quién puede tomar decisiones urgentes.
- Cómo debe comunicar el personal un correo sospechoso, la pérdida de un dispositivo o una cuenta comprometida.
- A qué proveedores de tecnología, aseguradoras, asesores jurídicos y autoridades hay que contactar.
- Cómo aislar un dispositivo o una cuenta sin destruir pruebas.
- Cómo seguir atendiendo a los viajeros si los sistemas de reservas o de comunicación dejan de funcionar.
- Cómo evaluar los datos afectados y comunicarse con los clientes conforme a la normativa aplicable.
- Cómo restaurar los sistemas y analizar la causa tras el incidente.
Haz un breve simulacro una vez al año. Plantea al equipo un escenario realista, como un buzón comprometido que contiene copias de pasaportes o un ataque de ransomware que bloquea el acceso a los itinerarios en curso. Comprueba si todos saben a quién llamar, dónde está la copia de seguridad y cómo atender a los viajeros mientras se recuperan los sistemas.
Los requisitos legales de notificación dependen de los países, los tipos de datos, los contratos y las personas implicadas. Pide a asesores jurídicos cualificados que confirmen qué normas se aplican a tu negocio. Tu plan de incidentes debe darles rápidamente la información que necesitan.
09
Crea una rutina de seguridad
La seguridad mejora cuando tu equipo la asume como un hábito de trabajo. Añade unas pocas comprobaciones a tu ritmo habitual de gestión.
| Frecuencia | Revisión |
|---|---|
| Cada día | Comunicar los mensajes sospechosos, seguir los procedimientos de pago y aplicar las actualizaciones de seguridad urgentes |
| Cada mes | Revisar las alertas, los usuarios nuevos, los antiguos, las integraciones y los accesos inusuales |
| Cada trimestre | Eliminar las exportaciones obsoletas, revisar los proveedores importantes y actualizar las pautas para el personal |
| Dos veces al año | Revisar los permisos de los usuarios y las cuentas de administrador |
| Cada año | Probar las copias de seguridad, hacer un simulacro del plan de incidentes y revisar el mapa de datos |
Guarda un registro con el responsable y la fecha de cada comprobación. Un registro sencillo permite a tu equipo demostrar con claridad qué revisó y qué cambió.
mTrip
Cómo aborda mTrip la seguridad de los datos
Cuando evalúes una plataforma de itinerarios o una app con tu marca, pide al proveedor que explique sus controles de seguridad en términos igual de prácticos. mTrip publica sus prácticas de seguridad para agencias, turoperadores y TMC.
Alojada en Amazon Web Services
La plataforma funciona sobre Amazon Web Services. Los clientes europeos se alojan en Fráncfort (Alemania) y los archivos subidos se almacenan en Londres (Reino Unido). El resto de los clientes se alojan en Virginia del Norte (Estados Unidos).
Cifrado en tránsito y en reposo
mTrip indica que el tráfico de la plataforma y de la API utiliza TLS 1.2 o superior. Cifra con AES-256 las bases de datos, el almacenamiento de archivos y las copias de seguridad en reposo, y la aplicación cifra los campos sensibles de los viajeros, como direcciones de correo electrónico, números de teléfono, fechas de nacimiento y referencias de reserva.
Copias de seguridad diarias, probadas cada año
La plataforma realiza copias de seguridad cifradas a diario, con recuperación a un momento concreto dentro de los últimos siete días. mTrip copia los backups en una segunda región de AWS, los protege contra el borrado y prueba una restauración al menos una vez al año.
Acceso controlado y pruebas independientes
mTrip describe un acceso controlado, autenticación multifactor, registro de la actividad administrativa, detección continua de amenazas y pruebas independientes de la plataforma y de las apps móviles al menos una vez al año.
Los clientes pueden solicitar documentos de seguridad a través del mTrip Trust Center. Contrasta los detalles actuales con tus propios requisitos antes de elegir cualquier proveedor de tecnología.
Revisión de seguridad
Preguntas para cualquier proveedor de tecnología de viajes
Pregunta dónde se alojan los datos, cómo se controla el acceso, cómo se prueban las copias de seguridad, cómo se notifican las incidencias de seguridad y qué ocurre con tus datos cuando termina el contrato.
Empieza aquí
Empieza por los controles que más riesgo reducen
Con un primer proyecto breve puedes avanzar de forma significativa:
Plan de acción
Seis controles para un primer proyecto
- Identifica los datos que circulan por tu flujo de reservas e itinerarios.
- Activa la autenticación multifactor en todas las cuentas importantes.
- Elimina usuarios antiguos, accesos compartidos e integraciones sin uso.
- No guardes los datos completos de tarjetas de pago en correos, documentos ni hojas de cálculo.
- Comprueba que las copias de seguridad funcionan probando una restauración.
- Redacta un plan de respuesta a incidentes y practícalo con tu equipo.
La seguridad de los datos protege la experiencia del viajero que tu agencia se esfuerza en construir. Además, ofrece a tu equipo una forma más segura de gestionar reservas, documentación de viaje y atención ante incidencias a medida que crece el número de viajes.
Para más orientación, lee las buenas prácticas con la documentación de viaje y la lista de verificación de software de deber de cuidado de mTrip.
El sector turístico en general
Lo que han aprendido otras empresas de viajes tras sufrir ataques
Estos ejemplos corresponden a empresas de viajes de mayor tamaño, pero los problemas de fondo también pueden darse en el flujo de trabajo de una agencia o de un turoperador: sistemas antiguos, credenciales robadas, datos de pago, accesos de proveedores y planes de recuperación débiles.
Grupo hotelero
Marriott y la base de datos de reservas de Starwood
En noviembre de 2018, Marriott anunció que un tercero no autorizado había accedido a la red de Starwood desde 2014. La base de datos contenía información de hasta unos 500 millones de huéspedes. En el caso de unos 327 millones, los datos incluían combinaciones de nombres, direcciones, teléfonos, correos electrónicos, números de pasaporte, datos de cuentas de fidelización, fechas de nacimiento e información de llegada y salida.
Lección aplicable: Revisa los sistemas heredados, las integraciones antiguas y las bases de datos adquiridas. Mantén un mapa de datos actualizado, elimina los datos que ya no necesites y supervisa el acceso a los almacenes de reservas.
Aerolínea
British Airways y los datos de pago de su web
British Airways notificó en 2018 un incidente que afectó a la información de clientes enviada a través de su web. La Information Commissioner’s Office (ICO) del Reino Unido registró después que se vieron afectados datos de unas 429.000 personas, entre ellos datos de acceso, tarjetas de pago, reservas de viaje, nombres y direcciones.
Lección aplicable: Protege los formularios de reserva públicos, las cuentas de administrador, los flujos de pago y los servicios conectados. No guardes datos de pago en sistemas que no los necesiten y vigila la actividad inusual.
Aerolínea
easyJet y una gran base de datos de clientes
easyJet comunicó en 2020 una brecha de datos que afectó a unos 9 millones de clientes. El incidente también afectó a los datos de tarjeta de 2.208 clientes. Su magnitud muestra con qué rapidez un solo sistema comprometido puede convertirse en un problema de comunicación con clientes, de carácter legal y de atención al cliente.
Lección aplicable: Ten claro qué categorías de datos gestionas, quién necesita acceder a ellas y cómo contactarás con los clientes afectados. Tu plan de respuesta a incidentes debe cubrir la atención al cliente además de la recuperación técnica.
TMC
CWT y la interrupción por ransomware
En 2020, la TMC CWT sufrió un ataque de ransomware. Según Reuters, los atacantes afirmaron haber copiado 30.000 archivos y CWT pagó un rescate durante la respuesta. El incidente muestra con qué rapidez una caída de los sistemas puede afectar a una empresa cuyos equipos gestionan viajes en curso y atienden a viajeros.
Lección aplicable: Las copias de seguridad y los procedimientos de recuperación merecen la misma atención que la prevención. Comprueba si tu equipo podría acceder a la información esencial de los viajes y atender a los viajeros si los sistemas principales dejaran de funcionar.
Revisa con mTrip el flujo de tus datos de viaje
Habla con el equipo de mTrip sobre datos de itinerarios, documentación de viaje, apps con tu marca y requisitos de seguridad. Si estás iniciando una evaluación de proveedores, lee primero la página de seguridad de mTrip.
Más información
Fuentes y lecturas recomendadas
- NIST Cybersecurity Framework 2.0
- CISA: Secure Your Business
- PCI Security Standards Council: Merchant Resources
- Marriott: incidente de seguridad en la base de datos de reservas de huéspedes de Starwood
- UK Information Commissioner’s Office: registro sancionador de British Airways
- UK Information Commissioner’s Office: registro sancionador de easyJet
- Reuters: CWT pagó un rescate de 4,5 millones de dólares a una banda de ransomware
- ARC: alertas y esquemas de fraude que afectan a las agencias de viajes
- ARC: Reasonable Care and Cyber Security Guide
- ARC: formación de seguridad obligatoria para agentes