D-EDGE y Misterbooking sufren ciberataques que exponen datos de huéspedes

Dos proveedores franceses de software para hoteles, el motor de reservas D-EDGE y Misterbooking, herramienta de gestión de Septeo Hospitality, sufrieron incidentes de seguridad independientes a mediados de octubre de 2026. En ambos casos quedaron expuestos datos de clientes de hoteles.

La alerta surgió a raíz de un correo que un hotel cercano a París envió a sus clientes el 29 de octubre de 2026. En él habla de dos incidentes «distintos e independientes entre sí» en dos de sus proveedores técnicos. Al cierre de esta información, ni D-EDGE ni Septeo habían respondido a las solicitudes de comentario.

D-EDGE: un error de configuración

Según el correo del hotel, una configuración incorrecta en D-EDGE permitió a terceros malintencionados acceder a datos de reservas los días 20 y 21 de octubre. La empresa avisó al establecimiento el 23 de octubre. Los datos expuestos incluyen fechas de estancia, referencia de la reserva, importe de la estancia y nombre del hotel, además del correo electrónico y el teléfono en algunas reservas. D-EDGE afirma que sus soluciones en la nube las usan más de 17.000 hoteles en más de 150 países; el alcance potencial es amplio, pero no se ha comunicado cuántos establecimientos se vieron afectados.

Misterbooking: una intrusión

En Misterbooking se trata de una intrusión. Septeo Hospitality detectó el 19 de octubre que un tercero había obtenido acceso ilegítimo a uno de los servidores. El acceso se cortó esa misma mañana, pero el atacante pudo extraer parte de los datos. En una nota del 23 de octubre a sus asociados, la organización profesional GHR habla de una «parte significativa» de los datos almacenados.

La información es más sensible: identidad y datos de contacto de clientes y acompañantes, datos de reserva y documentos adjuntos a los expedientes. Se desconoce la magnitud. Misterbooking lo utilizan 1.800 establecimientos y Septeo Hospitality cuenta con 4.000 hoteles equipados en Francia, España y otros países europeos.

Riesgo de phishing

Se cree que no se han filtrado datos completos de tarjetas bancarias, pero las fugas hacen prever estafas muy creíbles. Este mismo mes, tras el ataque a Medialog, otro proveedor francés de software hotelero, huéspedes fueron contactados por WhatsApp y correo con sus datos reales de reserva.

Un mensaje que cita su número de reserva, fechas e importe ya no demuestra que sea auténtico. Si pide confirmar la tarjeta, pagar un anticipo o pulsar un enlace para evitar una cancelación, no responda: llame al hotel al número de su web oficial o de la confirmación original.