El 21 de octubre de 2026 la Comisión Europea abrió expedientes formales contra Booking.com en virtud de la Ley de Servicios Digitales, la primera investigación de este tipo contra la plataforma de viajes. La Comisión evaluará si la empresa no evaluó con diligencia ni mitigó de forma eficaz los riesgos relacionados con anuncios fraudulentos y estafas de phishing, y si incumplió las normas de transparencia al no etiquetar claramente como publicidad los anuncios cuyos proveedores pagaron por un mejor puesto en los resultados de búsqueda.
Por qué la investigación de una plataforma es una historia de correo
El segundo punto de la investigación es el que más importa a quien gestiona correo electrónico. La Comisión examina las estafas de phishing que explotan los datos de reservas y huéspedes de Booking.com, y cómo esos datos se comparten con los proveedores de alojamiento. Un alto funcionario de la UE citado por AFP dijo que los reguladores sospechan que la plataforma no protege suficientemente los datos de usuarios particulares y empresariales, lo que “hace que el sistema sea vulnerable a este tipo de phishing”.
Esa es la mecánica del phishing moderno en una sola frase. Un correo fraudulento que conoce tu número de reserva, tus fechas, el nombre de tu hotel y tu nombre completo no necesita ser ingenioso, solo necesita llegar. Cuando los datos de reservas se filtran o circulan con demasiada libertad, los atacantes consiguen la materia prima para mensajes que parecen auténticos, incluidas peticiones de pago enviadas horas antes del check-in.
Lo que dijeron los reguladores
Los tres frentes de la investigación son los anuncios fraudulentos o no conformes, las estafas de phishing que explotan los datos de reservas y huéspedes, y los anuncios destacados de pago que no se identifican claramente como publicidad. La responsable europea de tecnología, Henna Virkkunen, declaró que los europeos deberían poder reservar sus vacaciones sin miedo a ser estafados. Booking.com afirmó que coopera plenamente y que la seguridad, la confianza y la protección de la información personal son prioridades máximas. Como plataforma en línea muy grande, se enfrenta a multas de hasta el seis por ciento de su facturación global conforme a la DSA, e incluso a una prohibición en caso de incumplimientos graves y reiterados. No existe un plazo legal para cerrar la investigación.
La lección para cada remitente
El caso trata de una plataforma de viajes, pero el modo de fallo subyacente es universal. Cuando tu marca aparece en mensajes que no enviaste, tus clientes te culpan a ti, no al atacante. Las defensas son las mismas ya gestiones un marketplace, un banco o una panadería. Autentica todas las fuentes legítimas con SPF, DKIM y DMARC, lleva tu política DMARC de p=none a quarantine y luego a reject para que el correo falsificado se detenga de verdad, lee tus informes agregados para ver quién falla la autenticación suplantándote, y controla cómo fluyen los datos de tus clientes hacia socios y terceros. Un registro DMARC que solo observa mientras los atacantes explotan tus datos de clientes es una coartada, no una defensa.
Si una marca tan grande como Booking.com tiene ahora que responder ante los reguladores por cómo el phishing abusa de sus datos, la pregunta para tu organización es sencilla. Sabes hoy quién envía correo en nombre de tus dominios, y tu política lo rechaza? Excello Mail mapea cada fuente de envío por ti y lleva tus dominios a p=reject sin romper el correo legítimo. Regístrate gratis en Excello Mail y descubre lo que tus informes DMARC llevaban tiempo diciéndote.