Ciberseguridad: el riesgo fantasma que pone en jaque datos, negocios y la confianza del pasajero

El sector maneja un volumen especialmente sensible de información: datos personales, documentos de identidad, hábitos de consumo y medios de pago. Esa combinación, sumada a la estacionalidad del negocio y a la interconexión con múltiples proveedores tecnológicos, convierte al turismo en un objetivo atractivo para los ciberdelincuentes, con ataques que crecen en frecuencia y sofisticación.

Un sector altamente vulnerable

A diferencia de otros sectores, el turismo opera sobre ecosistemas tecnológicos altamente fragmentados. Un mismo proceso puede involucrar motores de reserva, sistemas de gestión hotelera, plataformas de pago, proveedores externos y redes abiertas para clientes. Cada eslabón representa una posible puerta de entrada para ataques que van desde el robo de datos hasta el ransomware o el fraude financiero, ampliando una superficie de riesgo difícil de controlar de manera integral.

A esta complejidad se suma un factor clave: la inversión necesaria para una protección adecuada suele ser elevada, especialmente para pequeñas y medianas empresas. Soluciones de seguridad avanzadas, auditorías, actualizaciones constantes y capacitación del personal requieren recursos económicos y humanos que muchas organizaciones del sector no siempre pueden priorizar, en un contexto de márgenes ajustados y alta competencia.

Como resultado, no es extraño que numerosas empresas operen con sistemas desactualizados, configuraciones deficientes o sin protocolos claros de respuesta ante incidentes. Esta brecha entre el nivel de riesgo y la capacidad real de inversión facilita la tarea de los atacantes, que encuentran en el turismo un sector intensivo en datos, altamente digitalizado y, en muchos casos, insuficientemente protegido.

A ello se suma la alta rotación de personal y el empleo temporal, que dificultan la capacitación continua y aumentan el riesgo de errores humanos, una de las principales causas de brechas de seguridad. (Las dos caras de la inteligencia artificial: más eficiencia operativa, pero más ciberataques)

Carlos Cendra, de Mabrian, reconoce que el auge de la IA podría generar riesgos en materia de seguridad “en la medida en que confiamos en modelos genéricos o plataformas externas sin control riguroso”. Según él, en general, y en particular en la industria turística, hay un “reto de gobernanza y ética, no solo en diseño de los modelos analíticos o predictivos, sino también en los datos sobre los que se fundamentan los outputs de las herramientas de IA agéntica.”

Para abordar este riesgo, desde Mabrian abogan por “desarrollar análisis basados en IA agéntica desde el turismo y para el turismo”, con una “visión general de la industria y sus dinámicas que no requiere en ningún punto del uso de datos personales.”

Por su parte, José Luis Méndez, presidente de la Unión Nacional de Agencias de Viajes (UNAV) considera que la IA “todavía no es suficientemente segura”. Se apoya en los datos presentados por el Grupo Popular en el Senado de España, que reflejan que los ciberataques han crecido un 35% (45 mil ataques diarios), de los cuales el 70% se dirigen a pequeñas y medianas empresas, citando fuentes de la CEOE.

Según Méndez, “pensar que la IA es segura puede parecer una quimera”: “Si supiésemos todas las amenazas que nos acechan, no podríamos dormir. Máxime cuando los hackers han puesto en su punto de mira al sector del turismo y los viajes, como se ha visto en ejemplos muy recientes”.

Por ello piden a las agencias que dediquen recursos y formación en materia de seguridad y protección de datos, puesto que no está en juego el negocio de la agencia, sino la información personal de los clientes, con la crisis reputacional que podría provocar que la IA filtre determinados datos. (El comercio turístico en tiempos de inteligencia artificial)

Algo parecido sugieren desde RateHawk: que toda empresa defina una política clara de IA que establezca qué tipos de datos pueden procesarse y cuáles no; que configuren un servicio proxy de IA aislado, “lo que permite que las herramientas de IA solo sean utilizadas por usuarios verificados y con ciertas limitaciones de seguridad”; y revisiones de las aplicaciones IA por parte del equipo de seguridad.

“Por último es importante también organizar formaciones internas para aumentar la alfabetización digital y ofrecer recomendaciones prácticas”, señalan desde esta empresa.

En todo caso, Méndez subraya que la inteligencia artificial “está ayudando activamente a detectar patrones de fraude, accesos sospechosos y conductas anómalas en tiempo real”. “Es una cuestión de equilibrios”, termina diciendo el líder de la patronal.

Los desafíos que le deparan a un turismo cada vez más digital

Uno de los mayores retos del sector es integrar esa ciberseguridad a la estrategia de negocio y no tratarla como un costo adicional. La inversión en tecnología, capacitación y prevención suele postergarse hasta que ocurre un incidente, momento en el que el impacto económico y operativo ya es significativo.

La protección digital exige inversiones sostenidas en infraestructura, software, monitoreo y capacitación, recursos que muchas empresas encuentran difíciles de asumir. A diferencia de otras áreas del negocio, el retorno de esa inversión no siempre es inmediato ni tangible, lo que refuerza la percepción de la ciberseguridad como un costo y no como un activo estratégico. (Tecnología, distribución e inteligencia artificial: las tendencias que marcarán el turismo en 2026)

A este escenario se suma la creciente complejidad regulatoria. Normativas como el Reglamento General de Protección de Datos (GDPR) en Europa, junto con marcos legales en expansión en Latinoamérica, obligan a revisar procesos internos, contratos con proveedores y políticas de gestión de la información. Cumplir con estas exigencias implica tiempo, recursos y conocimientos específicos, un desafío adicional para organizaciones con estructuras reducidas.

El resultado es una tensión permanente entre la necesidad de avanzar en la digitalización, clave para competir, y la capacidad real de proteger esos entornos.