Estafa Booking: el mensaje que te pide pagar de nuevo

Cómo funciona la estafa Booking del pago rechazado

La estafa Booking del pago rechazado es un mensaje fraudulento que se hace pasar por el alojamiento y usa datos reales de tu reserva para pedirte un segundo pago a través de un enlace externo. Llega por el chat de la reserva en Booking.com, por WhatsApp, por SMS (el llamado smishing) o por correo. Los datos son auténticos porque los delincuentes suelen sacarlos de cuentas de alojamientos comprometidas, con acceso a la extranet desde la que se gestionan las reservas. TrueScreen permite certificar ese mensaje tal como aparece en tu pantalla, antes de que alguien lo borre.

Booking.com lo deja claro en su página de seguridad para viajeros: «Nunca te pediremos que compartas los datos de tu tarjeta de crédito por email ni por teléfono, mensaje de texto o WhatsApp». Algunos alojamientos piden un pago por adelantado o una preautorización, pero esas condiciones figuran en la confirmación y el cobro se hace según ellas, nunca con un enlace llegado por chat.

Este esquema es distinto de la estafa del alquiler vacacional con un anuncio falso: aquí la reserva es real y lo falso es quien te escribe.

Las señales que delatan el mensaje falso

• Te pide volver a introducir la tarjeta porque el pago «no se completó».
• Pone un plazo de pocas horas y amenaza con cancelar la reserva.
• El enlace no lleva a booking.com ni a la app oficial.
• Te propone seguir por WhatsApp o desde otro número.
• Después del pago, el mensaje desaparece y el enlace deja de funcionar.

Qué investiga la Comisión Europea sobre Booking.com

El 21 de octubre de 2026 la Comisión Europea abrió un procedimiento formal para evaluar si Booking.com puede haber incumplido la Ley de Servicios Digitales (DSA) al no evaluar con diligencia ni mitigar con eficacia los riesgos de anuncios fraudulentos y de phishing. Según el comunicado de la Comisión, hay tres frentes: los anuncios fraudulentos; el phishing que aprovecha los datos de reservas y huéspedes, con la forma en que se comparten con los alojamientos y el diseño de la mensajería; y los anuncios de pago que no se identifican como publicidad. TrueScreen no participa en el procedimiento, pero certifica los mensajes y la página de pago que tú llevarás al banco y a la policía.

Si se confirmaran las sospechas, serían infracciones de los artículos 34 y 35 de la DSA, sobre los riesgos sistémicos de las plataformas de muy gran tamaño, y del artículo 26, apartado 1, sobre la publicidad. Henna Virkkunen, vicepresidenta ejecutiva de la Comisión, lo explicó así: «Los europeos deben poder reservar sus vacaciones sin temor a ser estafados. La Ley de Servicios Digitales establece responsabilidades claras en las plataformas para abordar estos riesgos, y debemos garantizar que la plataforma de reservas líder en Europa se tome en serio esas responsabilidades.»

Abrir el procedimiento no prejuzga el resultado ni declara ninguna infracción, y tampoco te da derecho a un reembolso: tu protección sigue pasando por el banco y la denuncia.

Qué hacer en cuanto recibes el mensaje sospechoso

Primero no pagues y comprueba la reserva por un canal oficial; justo después, guarda las pruebas antes de que el mensaje desaparezca.

1. 1

   No respondas ni abras el enlace para pagar

   Contestar confirma que tu número está activo, y el enlace nunca es el camino para pagar.

2. 2

   Comprueba la reserva en la app o en la web oficial

   Entra tú en la app o escribe booking.com en el navegador: un problema real de pago aparecería en la página de la reserva.

3. 3

   Contacta con el alojamiento o con Booking desde un contacto verificado

   Usa el teléfono de la confirmación o Atención al cliente desde la app, nunca el número del mensaje.

4. 4

   Certifica el chat y la página antes de que desaparezcan

   Graba la pantalla con la App TrueScreen mientras recorres la conversación y abre el enlace en el Forensic Browser sin introducir datos. Los pasos concretos están en la sección sobre cómo se certifican el chat y la página de pago.

5. 5

   Si ya metiste los datos, llama al banco y bloquea la tarjeta

   Hazlo en cuanto te des cuenta, por el teléfono oficial del banco o desde su app.

6. 6

   Denuncia y avisa a Booking desde la reserva

   Presenta la denuncia y escribe a Atención al cliente: explica que es posible que hayas sido víctima de una estafa.

Si el pago ya salió: banco, denuncia y aviso a la plataforma

Si ya pagaste, avisa al banco el mismo día y denuncia: ninguno de los dos pasos garantiza recuperar el dinero, pero de ellos depende todo lo demás. La DSA y la directiva europea de servicios de pago (PSD2) se aplican solo a servicios y pagos dentro de la Unión Europea y del Espacio Económico Europeo; si vives fuera, en tu país las normas pueden ser distintas.

Pedir al banco la anulación del cargo

Pedir la anulación del cargo o la retrocesión (chargeback) es reclamar formalmente al banco una operación de pago que no autorizaste. En la UE lo regula la PSD2, transpuesta en España por el Real Decreto-ley 19/2018: si la operación no fue autorizada, debes comunicarlo sin demora y como máximo en 13 meses desde el cargo, y tu responsabilidad se limita a 50 euros, salvo fraude o negligencia grave. TrueScreen certifica los mensajes y la página que adjuntas a la reclamación, para que el banco vea qué te pidieron y cuándo.

El punto delicado es otro: si fuiste tú quien, engañado, metió los datos y confirmó con el código del banco, la operación suele considerarse autorizada y la devolución no es automática. El banco puede alegar negligencia grave, y eso lo valoran caso por caso un juez o un árbitro. Fuera de la UE, revisa la normativa de tu país y el procedimiento de contracargo de tu banco.

Presentar la denuncia

En España se denuncia ante la Policía Nacional o la Guardia Civil. El artículo 248 del Código Penal define la estafa como el engaño que, con ánimo de lucro, lleva a otra persona a un acto de disposición en perjuicio propio o ajeno. Lleva el número de reserva, los mensajes, la dirección del enlace, el extracto y las certificaciones; si tienes dudas, la línea 017 de INCIBE te orienta. Fuera de España, acude a la policía de tu país.

Avisar a Booking.com

Escribe a Atención al cliente desde la reserva, indica por qué canal te llegó el mensaje y no borres el chat aunque ya lo hayas certificado.

Qué pruebas conservar y por qué un screenshot no basta

Un screenshot es una imagen editable que, por sí sola, no demuestra cuándo ni en qué dispositivo se hizo, así que para el banco y la denuncia conviene conservar chat y página con un método que fije fecha e integridad. El mensaje puede borrarse y la página de pago suele cerrarse poco después del cobro.

Si ya hiciste screenshots, no los borres: puedes certificarlos como archivo, lo que fija su contenido y una fecha cierta desde ese momento, aunque no prueba cuándo se enviaron los mensajes. Por eso quien tiene que denunciar o pedir la anulación de un cargo usa TrueScreen para certificar el mensaje antes de que desaparezca: la certificación sigue ahí aunque borren el chat.

¿Cómo se certifican el chat y la página de pago?

Con TrueScreen el chat y la página de pago se certifican en el momento en que los ves: la grabación de pantalla en la App TrueScreen fija la conversación en el teléfono, el Forensic Browser fija la página del enlace con su archivo, y cada certificación lleva un sello digital oficial y un sello de tiempo cualificado, reconocidos internacionalmente. La prueba tiene fecha cierta e integridad verificable, y puedes llevarla al banco, a la policía o al juez, que la valora libremente.

TrueScreen garantiza el cómo, no el qué: acredita cómo y cuándo se adquirió el contenido y que no se ha modificado, no que el mensaje diga la verdad. No identifica a quien lo escribió, no garantiza reembolso ni resultado y no sustituye la denuncia.

Desde el teléfono

Inicia la grabación de pantalla en la App TrueScreen, abre el chat de la reserva o de WhatsApp y recorre los mensajes despacio, con el enlace y el perfil de quien te escribe. Antes de detener la grabación, vuelve a la App TrueScreen: muestra en pantalla un código de verificación en forma de QR que la grabación captura y que demuestra que lo grabado es la pantalla de tu dispositivo. Las pantallas protegidas por una app salen en negro, y un chat largo puede certificarse en varias grabaciones.

Desde el ordenador

El Forensic Browser es una aplicación de escritorio para macOS y Windows. Con el chat web de Booking.com o WhatsApp Web abierto en él, puede adquirir también el tráfico de red y los adjuntos. De la página de pago guarda, por cada página, la imagen original y el archivo con su código fuente, junto con los certificados del sitio y un control de la hora. Abre el enlace solo para documentarlo, sin introducir ningún dato, igual que al certificar un sitio clonado.

Un ejemplo ilustrativo, no un caso de cliente: una viajera recibe en el chat de la reserva un aviso del «hotel» que le da 12 horas para pagar de nuevo. Antes de contestar, graba la pantalla con la App TrueScreen y abre el enlace en el portátil con el Forensic Browser, sin meter datos. Al día siguiente el mensaje ya no está, pero la certificación sí, y la adjunta a la denuncia.

Alojamientos y anfitriones: cómo demostrar que no enviaste esos mensajes

Un alojamiento cuya cuenta ha sido comprometida necesita documentar qué salió de su cuenta, cuándo y cómo avisó a los huéspedes, porque el huésped estafado verá su nombre en el mensaje. Desde el 21 de octubre de 2026 la Comisión Europea investiga precisamente cómo se comparten los datos de reservas y huéspedes con los alojamientos. Un alojamiento puede certificar con TrueScreen el chat de la reserva y las comunicaciones a los huéspedes, para documentar qué salió de su cuenta y cuándo.

Lo que más pesa son los mensajes enviados desde tu cuenta que no escribiste, los avisos de inicio de sesión y los mensajes con que advertiste a tus huéspedes. Avisa a Booking.com por el canal para partners, cambia las contraseñas y activa la autenticación en dos pasos en la extranet y en el correo asociado.

En conclusión