La Comisión Europea ha abierto una investigación formal contra Booking.com para determinar si la plataforma ha incumplido la Ley de Servicios Digitales al gestionar los riesgos relacionados con anuncios de alojamientos fraudulentos, estafas de phishing y promociones de pago que podrían no estar suficientemente identificadas como publicidad. El procedimiento sitúa bajo escrutinio uno de los principales portales de reservas turísticas de Europa.
La Comisión Europea ha colocado a Booking.com bajo el foco de su regulación digital. Bruselas anunció el 21 de octubre la apertura de un procedimiento formal para estudiar si la compañía ha hecho lo suficiente para proteger a sus usuarios frente a diferentes modalidades de fraude que pueden aparecer durante el proceso de reserva.
La investigación se desarrolla bajo la Ley de Servicios Digitales de la Unión Europea (DSA, por sus siglas en inglés), la normativa que impone obligaciones especiales a las mayores plataformas digitales que operan dentro del mercado comunitario.
Booking.com forma parte de ese grupo desde abril de 2023, cuando la Comisión la designó oficialmente como una plataforma en línea de muy gran tamaño. Esta categoría afecta a servicios que alcanzan al menos 45 millones de usuarios mensuales dentro de la Unión Europea y supone obligaciones reforzadas para detectar, analizar y reducir riesgos sistémicos.
La apertura del procedimiento no implica que Bruselas haya determinado que Booking.com haya infringido la legislación. A partir de ahora, los reguladores europeos recopilarán nuevas pruebas antes de decidir si existen incumplimientos.
¿Qué es el phishing?
El phishing es una técnica de fraude digital utilizada por ciberdelincuentes para hacerse pasar por empresas, bancos, hoteles o plataformas conocidas con el objetivo de engañar al usuario y conseguir datos personales, contraseñas o información bancaria. Normalmente, la víctima recibe un correo electrónico, un SMS o un mensaje que parece legítimo y en el que se le pide realizar una acción urgente, como confirmar una reserva, actualizar una tarjeta o efectuar un nuevo pago. En el caso de las estafas relacionadas con Booking.com, el engaño puede resultar especialmente convincente cuando el mensaje incluye datos reales de una reserva, lo que dificulta distinguir una comunicación auténtica de un intento de fraude.
1. Bruselas investigará los alojamientos falsos en Booking.com
Uno de los principales puntos de la investigación son los anuncios fraudulentos o que incumplen las normas publicados dentro de la plataforma.
La Comisión quiere comprobar si Booking.com ha identificado correctamente los riesgos relacionados con propiedades inexistentes, suplantaciones de identidad o determinados alojamientos que no cumplen los requisitos exigidos.
También analizará si las medidas adoptadas por la empresa para retirar estos anuncios son suficientemente eficaces.
El problema tiene especial importancia porque las plataformas de reservas funcionan como intermediarias entre millones de viajeros y establecimientos distribuidos por numerosos países.
Un alojamiento aparentemente legítimo puede convertirse en una vía de fraude cuando el anunciante utiliza fotografías, direcciones o información falsa para intentar obtener pagos de viajeros que creen estar realizando una reserva real.
La preocupación por este tipo de prácticas ha aumentado durante los últimos meses. En septiembre, la organización británica de consumidores Which? consiguió incluso crear un alojamiento falso en Booking.com utilizando como dirección el 10 de Downing Street, residencia oficial del primer ministro británico, dentro de una investigación destinada a comprobar los controles de la plataforma.
Este tipo de casos ha reforzado el debate sobre hasta qué punto las grandes plataformas deben verificar previamente los alojamientos que aparecen en sus sistemas.
Recreación editorial de la Comisión Europea analizará los riesgos de phishing vinculados a datos de huéspedes y reservas.
2. El phishing vinculado a reservas será otro punto central
El segundo gran apartado de la investigación europea afecta a las estafas de phishing asociadas a reservas reales.
Este fraude puede resultar especialmente convincente para las víctimas porque los delincuentes pueden disponer de determinados datos relacionados con una estancia.
La Comisión Europea investigará específicamente los riesgos derivados de la manera en que Booking.com comparte datos de huéspedes y reservas con los establecimientos, además del diseño y funcionamiento del servicio de mensajería de la plataforma.
Uno de los métodos utilizados por los ciberdelincuentes consiste en hacerse pasar por un hotel o apartamento con el que el viajero ya tiene una reserva.
El usuario puede recibir entonces un mensaje aparentemente legítimo asegurando que existe un problema con su tarjeta, que debe verificar sus datos o que necesita realizar un nuevo pago para evitar que la reserva sea cancelada.
La combinación de información auténtica sobre el alojamiento y los detalles del viaje puede hacer mucho más difícil detectar el engaño.
Booking.com ha reconocido previamente el incremento de los intentos de fraude y ha señalado que la inteligencia artificial está facilitando la creación de contenidos utilizados por los delincuentes. Según declaraciones de la compañía recogidas por The Guardian, los intentos de estafa llegaron a aumentar entre un 500% y un 900% en determinados contextos relacionados con estas nuevas herramientas.
La Comisión quiere determinar ahora si Booking.com dispone de salvaguardas suficientes para impedir que datos asociados a las reservas sean utilizados posteriormente para solicitar pagos fraudulentos.
3. La UE también examinará los alojamientos que pagan por aparecer más arriba
La investigación no se limita a las estafas.
Bruselas también estudiará la forma en que Booking.com identifica determinados resultados que aparecen en posiciones destacadas porque los proveedores han pagado una comisión superior.
Según la Comisión Europea, los usuarios deben poder distinguir claramente cuándo un alojamiento aparece de forma destacada por su relevancia para la búsqueda y cuándo esa visibilidad responde a un posicionamiento de pago.
La DSA exige que los anuncios sean reconocibles y que los usuarios puedan conocer quién está detrás de esa publicidad, quién la ha financiado y por qué se les muestra.
Bruselas estudiará por ello si esas propiedades promocionadas han sido identificadas de manera suficientemente clara como publicidad.
La cuestión tiene especial relevancia en plataformas en las que la posición de un establecimiento dentro de los resultados puede influir directamente en la decisión de reserva del consumidor.
Recreación editorial de Bruselas examinará tres áreas: alojamientos fraudulentos, phishing y transparencia de los resultados promocionados.
Booking.com asegura que colaborará con las autoridades
Booking.com ha señalado que está colaborando con los reguladores y ha defendido su compromiso con la seguridad de sus usuarios.
La compañía sostiene que trabaja junto a autoridades, fuerzas policiales y otros integrantes de la industria para combatir las nuevas técnicas utilizadas por los ciberdelincuentes.
Desde Bruselas, la vicepresidenta ejecutiva de la Comisión Europea responsable de Soberanía Tecnológica, Seguridad y Democracia, Henna Virkkunen, ha insistido en la necesidad de que los ciudadanos puedan reservar sus vacaciones sin miedo a convertirse en víctimas de una estafa.
El procedimiento formal permitirá ahora a la Comisión solicitar más información, realizar entrevistas o efectuar inspecciones.
También puede adoptar medidas provisionales si considera que existe un riesgo grave para los usuarios o aceptar compromisos presentados por Booking.com para corregir las prácticas investigadas.
Booking.com podría afrontar sanciones de hasta el 6% de su facturación mundial
La investigación acaba de comenzar y no existe todavía ninguna conclusión definitiva sobre posibles infracciones.
Sin embargo, las consecuencias económicas pueden ser importantes si Bruselas acaba determinando que la compañía incumplió las obligaciones de la Ley de Servicios Digitales.
La legislación permite imponer sanciones de hasta el 6% del volumen de negocios anual mundial de una plataforma cuando se confirma un incumplimiento. La cuantía depende, entre otros factores, de la gravedad, duración y reiteración de la infracción.
Booking.com fue incluida en 2023 entre las primeras 17 grandes plataformas sometidas a las obligaciones reforzadas de la DSA, junto a servicios como Amazon, Instagram, TikTok, YouTube o LinkedIn.
El nuevo procedimiento representa por ello otro ejemplo de la estrategia europea para incrementar el control sobre las grandes plataformas digitales.
Qué pueden hacer los usuarios para evitar una estafa al reservar
Aunque la investigación se centra en las obligaciones de Booking.com, los viajeros también pueden adoptar algunas precauciones.
Los mensajes inesperados que solicitan introducir de nuevo una tarjeta, realizar transferencias fuera de la plataforma o acceder urgentemente a un enlace deberían tratarse con especial cautela.
Cuando exista cualquier duda, resulta más seguro acceder directamente a la reserva desde la aplicación o página oficial en lugar de hacerlo a través del enlace recibido.
También conviene comprobar el historial del alojamiento, sus opiniones y su dirección antes de efectuar pagos importantes.
Los fraudes de phishing son especialmente peligrosos cuando utilizan información real de una reserva porque pueden resultar mucho más creíbles que los mensajes fraudulentos convencionales.