Las habitaciones de hotel incorporaron cerraduras inteligentes, televisores conectados, sensores de presencia, sistemas de climatización automatizados y llaves digitales. Estas herramientas prometen comodidad, ahorro de energía y una atención más rápida, pero también abren nuevas puertas de acceso para los ciberdelincuentes.
El riesgo surge porque muchos de esos equipos conectados comparten redes, intercambian información con plataformas centrales y dependen de proveedores externos. Una falla en un televisor, una cerradura o un quiosco de registro puede permitir que un atacante acceda a sistemas que almacenan nombres, correos electrónicos, datos de tarjetas de crédito y hábitos de consumo de los huéspedes.
La amenaza ya forma parte de la operación cotidiana del negocio hotelero. Según un informe de VikingCloud, el 82% de los hoteles de América del Norte sufrió ciberataques durante el verano anterior y más de la mitad recibió cinco o más ataques. La expansión de los dispositivos conectados elevó la cantidad de puntos que los equipos de seguridad deben controlar, mientras muchas compañías todavía trabajan con presupuestos, personal y protocolos insuficientes.
Índice de temas
Una puerta digital que también puede darle acceso a un atacante
La tecnología dejó de ocupar un lugar secundario en los hoteles. El registro móvil, las reservas en la nube, las terminales de pago, las plataformas de fidelización y los sistemas de climatización ya forman parte de una misma red operativa. A esa estructura se sumaron los sensores del minibar, la iluminación inteligente, las cámaras, los televisores y las cerraduras electrónicas.
Cada equipo conectado cumple una función concreta, pero también incorpora una posible vulnerabilidad. Un ciberdelincuente no necesita atacar directamente la base de datos principal del hotel. Puede aprovechar una falla conocida en un dispositivo con poca protección, acceder a la red y buscar otros sistemas con información más sensible.
El problema se agrava por la falta de estándares comunes. Los hoteles suelen comprar equipos a diferentes fabricantes, con distintas versiones de software y políticas de actualización. Algunos proveedores corrigen fallas con rapidez, mientras otros dejan de ofrecer soporte después de pocos años. Esa fragmentación complica la instalación de parches de seguridad y dificulta determinar cuántos dispositivos permanecen activos.
El firmware representa otro punto delicado. Un televisor o un sensor puede funcionar durante años sin que el área de tecnología lo incluya dentro de su inventario de activos. Cuando esos equipos quedan fuera del control central, las empresas pierden capacidad para detectar accesos extraños, contraseñas débiles o configuraciones incorrectas.
La comodidad para el huésped, por lo tanto, tiene un costo operativo. Cuantos más servicios dependen de conexiones permanentes, mayor es la superficie que los atacantes pueden explorar. Una habitación inteligente puede incluir decenas de equipos que envían y reciben datos durante las 24 horas, incluso cuando el huésped no los usa.
Phishing, voces falsas y fraudes creados con inteligencia artificial
La inteligencia artificial facilitó la generación de correos falsos, facturas fraudulentas, reclamos inventados y mensajes que imitan el lenguaje de directivos, proveedores o clientes.
Los ciberdelincuentes pueden usar modelos de lenguaje para redactar comunicaciones convincentes en varios idiomas. Esa capacidad les permite atacar cadenas internacionales, hoteles independientes y empleados que trabajan en recepción, reservas, finanzas o atención al cliente.
Durante 2025, el grupo conocido como TA558 utilizó textos generados con inteligencia artificial en campañas de phishing dirigidas a trabajadores de hoteles de habla hispana y portuguesa. El objetivo consistió en obtener datos de tarjetas de crédito y credenciales de acceso.
El engaño puede empezar con un correo que aparenta ser una consulta de un huésped, una factura de un proveedor o una orden urgente de un gerente. Si el empleado abre un archivo, entrega una contraseña o autoriza una transferencia, el atacante obtiene una ventaja sin vulnerar ninguna barrera técnica.
Las falsificaciones de voz y video agregaron otro nivel de riesgo. Un delincuente puede imitar la voz de un ejecutivo y solicitar un pago urgente, un cambio de cuenta bancaria o el acceso a determinada plataforma. También puede suplantar a un huésped para intentar recuperar una llave digital o modificar una reserva. Estas técnicas incrementaron la necesidad de saber cómo detectar deepfakes.
El mismo estudio de VikingCloud reveló que el 48% de los responsables de tecnología de hoteles no confiaba en la capacidad de sus equipos para detectar y responder a ataques creados con IA. Además, el 22% consideró que los hackers ya superaban a sus sistemas de defensa.
La capacitación del personal pasó a tener el mismo peso que las herramientas técnicas. Los empleados necesitan revisar solicitudes inesperadas, verificar identidades mediante un segundo canal y evitar decisiones basadas únicamente en un correo, una llamada o un video. Un procedimiento simple puede frenar un fraude que parezca completamente real.
El peligro oculto en televisores, cerraduras y quioscos
Los dispositivos conectados representan un desafío particular porque suelen permanecer activos durante muchos años. Un hotel puede renovar sus computadoras con frecuencia, pero conservar televisores, cámaras, cerraduras y sensores durante buena parte de una década.
Ese ciclo de uso genera una brecha entre la vida útil física y la protección informática. El equipo puede funcionar sin fallas visibles, aunque su software ya no reciba actualizaciones. Para un atacante, ese dispositivo antiguo representa una entrada más sencilla que un servidor protegido.
Las cerraduras inteligentes requieren una atención especial. Estos sistemas pueden integrarse con reservas, recepción y llaves móviles. Una configuración deficiente, una contraseña predeterminada o una falla sin corregir puede exponer información sobre habitaciones, accesos y horarios.
Los televisores también pueden conectarse a plataformas que muestran el nombre del huésped, permiten acceder a servicios de entretenimiento o cargan los consumos a la habitación. Aunque parezcan equipos aislados, a menudo intercambian datos con otras partes de la infraestructura.
Los quioscos de auto check-in reúnen todavía más información. Una encuesta realizada a 2.000 viajeros estadounidenses indicó que el 70% prefería esa modalidad. Para responder a esa demanda, los hoteles instalaron terminales capaces de procesar documentos, correos electrónicos, reservas y tarjetas de crédito.
Esa concentración de datos convierte a los quioscos en objetivos atractivos para el robo de identidad, el fraude y el ransomware. Si el proveedor que administra el equipo sufre un ataque, la exposición puede alcanzar a varios hoteles al mismo tiempo.
La tercerización no elimina la responsabilidad de la compañía hotelera. Aunque la falla comience en una empresa externa, el hotel puede enfrentar sanciones, reclamos de clientes, pérdidas financieras y daños a su reputación. Por esa razón, la gestión de proveedores debe incluir exigencias concretas sobre cifrado, autenticación multifactor, auditorías y notificación de incidentes.
Qué pueden hacer los hoteles para reducir la exposición
La primera medida consiste en identificar todos los equipos conectados. El hotel necesita un inventario actualizado de televisores, cámaras, cerraduras, sensores, terminales de pago, quioscos y sistemas de climatización. También debe registrar qué empresa los administra, qué software utilizan y cuándo recibieron su última actualización.
La separación de redes reduce el impacto de una intrusión. Un televisor o un sensor del minibar no debería compartir el mismo acceso que los sistemas de reservas, pagos o información personal. Si un atacante vulnera un dispositivo, la segmentación puede impedir que llegue a áreas más sensibles.
Otro recurso es el modelo de confianza cero, que exige verificar cada acceso y limitar los permisos según la función de cada empleado o proveedor. Una persona que trabaja en mantenimiento no necesita las mismas credenciales que el equipo financiero, mientras que un fabricante de cerraduras no debería ingresar a toda la infraestructura.
La autenticación multifactor añade una barrera frente al robo de contraseñas. Incluso si un delincuente obtiene una credencial mediante phishing, todavía necesita un segundo método de validación. Las compañías también deben revisar los accesos de empleados que dejaron la organización y las cuentas de proveedores que ya no prestan servicios.
La IA puede reforzar la defensa mediante la detección de comportamientos inusuales. Un sistema puede advertir conexiones fuera de horario, movimientos extraños entre redes o intentos repetidos de ingreso. Sin embargo, estas herramientas necesitan supervisión humana y reglas claras para evitar falsas alarmas.
La capacitación completa la estrategia. Las simulaciones periódicas permiten medir la respuesta y corregir fallas antes de un incidente real.
