Qué revela la investigación sobre las filtraciones de datos de viajes
Un viaje puede poner tu información personal en más lugares de los que podrías imaginar. Las aerolíneas y los hoteles son los más evidentes, pero las plataformas de reserva, las empresas de alquiler de coches, los operadores ferroviarios, los programas de fidelización, los proveedores de tours y servicios más pequeños también recopilan datos propios por el camino.
Los investigadores de NordVPN y Saily analizaron las filtraciones relacionadas con viajes observadas entre enero de 2021 y agosto de 2026 para ver qué ocurre con esos datos cuando las empresas de viajes sufren una filtración.
Los investigadores encontraron 119,4 millones de registros de viajeros expuestos, pero el total es solo parte de la historia. El estudio reveló dos patrones muy diferentes: algunos tipos de empresas de viajes aparecieron en filtraciones con mucha más frecuencia, mientras que otros tuvieron menos incidentes pero con muchas más personas afectadas de una sola vez.
Los datos expuestos tampoco se limitaron a credenciales de cuenta. Las filtraciones de viajes frecuentemente contenían detalles personales que son difíciles o a veces imposibles de cambiar.
Entonces, ¿dónde están los puntos débiles y qué información dejan los viajeros? Veamos los hallazgos.
Las filtraciones de datos de viajes no siguen un patrón
Los investigadores observaron 119.433.433 registros de viajeros expuestos durante el periodo analizado. Sin embargo, esos registros estaban lejos de distribuirse uniformemente entre los años.
Solo en 2021, los investigadores identificaron más de 37,4 millones de registros en 278 filtraciones, el recuento de incidentes más alto del conjunto de datos, impulsado en gran medida por un grupo de filtraciones más pequeñas de plataformas de reserva. En 2022, el número de incidentes cayó sustancialmente a 43, pero esas filtraciones aún expusieron casi 22 millones de registros. El año siguiente trajo solo 23 filtraciones observadas pero casi 30 millones de registros expuestos. A continuación se muestra una comparación año a año.
*Los datos de 2026 cubren el periodo hasta el 18 de agosto.
Un alto recuento de filtraciones no siempre significa más registros expuestos. El conjunto de datos de 2021 contenía 12 veces el número de filtraciones que 2023, pero solo un 25% adicional de registros expuestos. Unas pocas filtraciones muy grandes pueden inclinar rápidamente la balanza.
Para los viajeros, ambos lados de la ecuación cuentan. Un sector puede tener filtraciones frecuentes y más pequeñas, o incidentes ocasionales que afectan a millones de personas de golpe.
Los sectores de viajes más afectados
Una filtración de datos en un pequeño operador de tours tiene un aspecto muy diferente a la de una gran aerolínea. La primera puede afectar a menos clientes pero ser uno de muchos incidentes similares, mientras que la segunda puede exponer información perteneciente a un número enorme de viajeros de una sola vez.
Para tener en cuenta estas diferencias, los investigadores agruparon las empresas afectadas en cinco sectores de viajes:
- Aerolíneas
- Hoteles y resorts
- Programas de fidelización
- Plataformas de reserva, agencias de viajes online, tours y proveedores de actividades
- Alquiler de coches, empresas de cruceros y operadores ferroviarios
El alquiler de coches, empresas de cruceros y operadores ferroviarios representaron la mayor proporción de registros expuestos observados, con un 27,7%. Las plataformas de reserva, agencias de viajes online, tours y proveedores de actividades les siguieron de cerca con un 24,6%, seguidas de hoteles y resorts con un 23,7% y aerolíneas con un 21,2%. Los programas de fidelización representaron el 2,8% restante.
La tabla siguiente muestra los datos con más detalle.
Las plataformas de reserva, agencias de viajes online, operadores de tours y proveedores de actividades fueron la categoría más frecuentemente vulnerada en la investigación, representando 274 incidentes. Este grupo incluye negocios de tamaños muy diferentes, desde grandes plataformas de reserva hasta pequeñas agencias, operadores de tours regionales y proveedores de actividades.
Las aerolíneas mostraron el patrón opuesto. Los investigadores observaron solo 21 filtraciones de aerolíneas, en comparación con las 274 de la categoría de plataformas de reserva, agencias de viajes online, tours y actividades. Pero esos 21 incidentes expusieron más de 25,2 millones de registros. Una filtración media de aerolínea contenía alrededor de 1,2 millones de registros, más de 11 veces el promedio de aproximadamente 107.000 registros de las plataformas de reserva, agencias de viajes online, tours y proveedores de actividades.
¿Qué información se expone en las filtraciones de datos de viajes?
Cada filtración analizada para la investigación contenía direcciones de correo electrónico porque se utilizaron direcciones de email únicas expuestas para medir el tamaño de la filtración. Pero la mayoría de los incidentes también incluían otra información personal.
Los nombres completos aparecieron en el 92% de las filtraciones analizadas, los números de teléfono en el 87% y las direcciones en el 78%. Más de la mitad incluía fechas de nacimiento (55%) e información de género (53%), mientras que el 46% contenía contraseñas. La nacionalidad apareció en el 19% de las filtraciones y la información de documentos de identidad en el 11%.
En conjunto, estos detalles pueden construir una imagen precisa de una persona. Alguien que obtenga acceso a datos de viajes filtrados podría saber tu nombre completo, dónde vives, cómo contactarte y cuándo naciste. Según el proveedor y la filtración, la información expuesta también podría incluir nacionalidad o detalles de identificación.
Los datos de viajes pueden ser especialmente sensibles porque gran parte de ellos son difíciles de cambiar. Puedes restablecer una contraseña comprometida, pero no puedes cambiar tu fecha de nacimiento u otra información de identificación personal.
Tus datos después del viaje
La investigación también apunta a un problema menos evidente: los viajeros pueden seguir teniendo datos personales almacenados con empresas que utilizaron una vez y que desde entonces han olvidado. Las plataformas de reserva, agencias de viajes online, operadores de tours y proveedores de actividades representaron más de la mitad de las filtraciones analizadas, y muchos de estos servicios pueden ser necesarios solo para un único viaje.
Puede que recuerdes la aerolínea con la que volaste hace cinco años, pero probablemente no todas las empresas locales de tours, servicios de alquiler de coches o plataformas de reserva que utilizaste. Según las políticas de la empresa y los requisitos legales, esos servicios pueden conservar la información del cliente después de que termine el viaje. Una cuenta antigua que apenas recuerdas podría, por tanto, seguir conteniendo detalles personales si la empresa sufre una filtración años después.
Cómo compartir menos datos personales al viajar
Los viajeros no pueden controlar cómo cada aerolínea, hotel o servicio de reserva protege su infraestructura. Pero pueden ser más selectivos con la información que entregan. Algunos hábitos sencillos pueden ayudarte a dejar menos información sensible:
- Evita crear cuentas innecesarias. Antes de crear una cuenta, considera si realmente la necesitas o si el servicio te permite completar la reserva como invitado.
- Usa contraseñas únicas y autenticación multifactor (MFA). Una contraseña única para cada cuenta significa que las credenciales expuestas por un proveedor no pueden reutilizarse en otro lugar. La MFA añade otra verificación, dificultando el acceso a tu cuenta solo con una contraseña robada.
- Elimina la información personal guardada. Borra los métodos de pago y documentos de identidad almacenados una vez que el servicio ya no los necesite.
- Ten cuidado al subir documentos de identidad. Los pasaportes y otros documentos de identificación emitidos por el gobierno a veces son necesarios, pero no subas documentación solo porque un formulario lo pida. Comprueba por qué la empresa necesita el documento, cómo lo utilizará y si puedes proporcionar la información necesaria de otra manera.
- Revisa las cuentas de viajes antiguas. Elimina las cuentas de viaje que ya no necesites y, cuando sea apropiado, solicita la eliminación de los datos personales asociados a ellas.
- Ten precaución. Trata con sospecha los correos electrónicos o mensajes inesperados sobre reservas pasadas, especialmente si te piden que inicies sesión, compartas información o hagas un pago.
La seguridad online empieza con un clic.
Máxima seguridad con la VPN líder del mundo
Metodología
Los investigadores de NordVPN y Saily analizaron datos históricos de filtraciones desde el 1 de enero de 2021 hasta el 18 de agosto de 2026, utilizando datos disponibles a través de la plataforma de gestión de exposición a amenazas NordLayer Intelligence.
Los investigadores revisaron el catálogo de filtraciones del periodo analizado y clasificaron incidentes que involucraban aerolíneas, hoteles y resorts, agencias de viajes online, proveedores de tours y actividades, programas de fidelización y alquiler de coches, empresas de cruceros y operadores ferroviarios. Cada filtración se categorizó según el nombre, dominio y descripción de la organización afectada. Los investigadores verificaron individualmente los incidentes más grandes y eliminaron falsos positivos.
El tamaño de la filtración se midió utilizando el número de direcciones de correo electrónico únicas expuestas. El conjunto de datos final contenía 119.433.433 registros de viajeros en 494 filtraciones relacionadas con viajes.
Los hallazgos representan incidentes observados en el conjunto de datos analizado y no deben interpretarse como el número global completo de filtraciones de datos del sector de viajes o registros de viajeros expuestos.
