«Se comparte información sensible sin estar investigado»: un experto en ciberseguridad desmonta el registro de viajeros

Con ocho de cada diez españoles planeando viajar este verano, según el Barómetro de Vacaciones 2025 de Ipsos, y con la ocupación hotelera rozando el lleno en muchos destinos, la reciente entrada en vigor del nuevo registro de huéspedes, que obliga a recopilar hasta 42 datos personales por viajero, deja expuestos a los clientes en virtud del famoso 'Gran Hermano' del ministro Grande-Marlaska.

Desde Lazarus Technology, proveedor global de ciberseguridad, advierten que esta acumulación masiva de información, lejos de ofrecer mayor protección, aumenta exponencialmente los riesgos de exposición, fraude y robo de identidad.

La normativa, recogida en el Real Decreto 933/2021, ha generado preocupación en el sector y entre los expertos por su dudosa eficacia. Según datos del INE, durante la fase previa de implantación, en España se registraron más de 102 millones de pernoctaciones, pero la iniciativa sólo permitió la identificación de 18.584 personas investigadas judicial o policialmente, apenas un 0,018  %.

El 99,98 % de los viajeros comparten su información más sensible sin estar vinculados a ninguna actividad ilícita

Esto significa que el 99,98 % de los viajeros comparten su información más sensible sin estar vinculados a ninguna actividad ilícita. Un riesgo cada vez mayor considerando que el sector hotelero ha sufrido un aumento de un 70 % de los ciberataques, con especial foco en grandes bases de datos de clientes.

Una vez sustraída, esa información puede usarse para fraudes financieros, chantajes digitales o reventa en mercados ilegales. Esta situación se agrava si se suman otras cifras como los fraudes por suplantación de identidad que han crecido un 15 % en Europa. En España, el 66 % de las empresas reconoce haber sufrido más casos de fraude en el último año, según Europol y la Asociación Española de Empresas Contra el Fraude.

El DNI digital, otro riesgo

A esta situación se suma la implantación del DNI digital, que permite portar la identidad oficial en el móvil y ya ha superado las 400.000 descargas. Aunque útil y en línea con el reglamento eIDAS 2.0, Lazarus Technology advierte de que su punto débil está en la autenticación basada en el número de teléfono. En plena campaña estival, con más desplazamientos y conexiones desde redes inseguras, técnicas como el SIM swapping (duplicación fraudulenta de la SIM) podrían facilitar el robo masivo de identidades.

A esta vulnerabilidad se suma la ausencia de una campaña institucional dirigida a la ciudadanía para explicar cómo funciona el nuevo DNI digital y cómo identificar su versión oficial. En este vacío informativo han proliferado aplicaciones fraudulentas que suplantan a la original y que exponen a los usuarios al riesgo de descargar software malicioso desde tiendas no seguras.

Según el CEO de Lazarus Technology, «no basta con que el sistema funcione bien técnicamente. Si el ciudadano no sabe identificar qué es legítimo y qué no, la puerta queda abierta para los ciberdelincuentes. La seguridad digital no puede apoyarse únicamente en la robustez del software, también necesita claridad informativa, pedagogía institucional y mecanismos que den al usuario un control real sobre su identidad».