Quién puede escribir en nombre de tu negocio turístico: el turismo salvadoreño

Este estudio mide la autenticación de correo en el turismo salvadoreño: qué tan expuesto está a que alguien mande correos haciéndose pasar por un hotel, un operador de tours o una empresa de transporte turístico, y qué hacer al respecto. Lo realizó Transformation Trends en octubre de 2026.

Cómo se midió, en breve. Se consultaron sólo registros DNS públicos (DMARC, SPF y MX) de 118 empresas turísticas salvadoreñas con dominio propio, tomadas principalmente del Registro Nacional de Turismo (MITUR/CORSATUR), y de 16 cadenas globales presentes en El Salvador, medidas con la misma vara pero reportadas aparte. Ni una sola petición se hizo a los sistemas de ninguna empresa, y ninguna se nombra. Una empresa cuenta como protegida sólo si su DMARC está en quarantine o reject. El detalle completo está en cómo se hizo esta medición.

Lo que encontramos, en una página

Consultamos los registros públicos de 118 empresas turísticas salvadoreñas con sitio propio (hoteles, operadores de tours y transporte turístico) para responder una sola pregunta: si alguien manda un correo haciéndose pasar por ese negocio, ¿hay algo que lo detenga?

En el 90.7% de los casos, no.

La diferencia entre los dos grupos es de 66 puntos. Ése es el hallazgo central, y no es una diferencia de presupuesto: las tres piezas que cierran el problema no cuestan dinero.

Un segundo hallazgo, más incómodo: el problema mayor no es sólo el 60.2% que no tiene nada. Es el 30.5% que sí publicó DMARC pero en modo observación, donde no bloquea absolutamente nada. En cualquier revisión superficial aparece como resuelto. En la práctica está tan abierto como quien nunca hizo nada.

Por qué esto importa, y no es un tecnicismo

El correo electrónico nunca comprobó quién lo manda. Se diseñó en los años setenta entre universidades que se conocían entre sí, y el remitente quedó como lo que sigue siendo hoy: un dato que declara quien envía, no algo que alguien verifique.

Eso significa que cualquiera puede mandar, ahora mismo, un mensaje que diga venir de tu negocio. No necesita entrar a tu correo, ni robar tu contraseña, ni saber nada de tu empresa más que su dirección.

Ese correo tiene nombre: phishing. La suplantación es el medio; el fraude es la consecuencia.

El daño concreto en turismo

Un hotel, un operador de tours o una empresa de transfers maneja algo muy atractivo para quien defrauda: reservas con fechas, montos y nombres reales. El patrón, documentado en el sector en varios países, no es el ataque que uno imagina. No hay sistemas apagados ni pantallas pidiendo rescate. Un tercero obtiene los datos de una reserva y le escribe al cliente a nombre del establecimiento, mencionando su reserva real, "alegando un problema con el pago" y pidiendo que lo liquide de nuevo por un enlace.

Piensa en lo que recibe esa persona: un mensaje con su reserva exacta, desde la dirección del negocio. No hay nada ahí que active las alarmas habituales. El huésped paga dos veces, el dinero se pierde, y quien queda con el problema de reputación es el establecimiento, que muchas veces se entera semanas después y por el propio cliente.

Cuando ese correo llega con la dirección de remitente del negocio y el dominio no tiene un DMARC que rechace, no hay nada técnico que lo detenga.

El costo silencioso

Hay una segunda consecuencia que casi nadie conecta con esto.

Desde el 1 de febrero de 2024, Google y Yahoo exigen autenticación a quien les manda correo. Todo remitente debe tener SPF o DKIM configurados, y quienes envían volúmenes altos deben tener las tres piezas. La documentación de Google es explícita: los mensajes que no se autentiquen "pueden marcarse como spam o rechazarse".

Un negocio turístico manda confirmaciones de reserva, recordatorios de llegada, facturas y promociones de temporada. Si su dominio no está autenticado, una parte de ese correo legítimo, el que el huésped está esperando, deja de llegar. Y nadie se entera: recepción lo ve en "enviados" y da el asunto por cerrado; el huésped no recibe nada y supone que no le contestaron. La falla no produce un error, produce silencio.

Las tres piezas, sin tecnicismos

Son tres registros que se publican en el DNS del dominio, una sola vez, y no cuestan dinero:

La trampa está en DMARC en p=none. Es el modo con el que se empieza, para observar sin romper nada. Pero si se queda ahí, no bloquea: es un candado puesto en la puerta pero sin cerrar. En este estudio, tres de cada diez empresas se quedaron exactamente ahí.

Resultados por tipo de destino

Entre los 93 hoteles independientes medidos, la exposición es pareja en todo el país:

La costa de surf, más nueva y con más trato internacional, sale apenas mejor; la diferencia es pequeña. El dato de fondo es que ningún tipo de destino baja del 84%.

Operadores de tours y transporte

Los 25 operadores turísticos y empresas de transporte medidos salen igual de expuestos que los hoteles: 88.0%. Y en lo más básico están peor: uno de cada cuatro no tiene siquiera SPF, la pieza más sencilla de las tres. Es el eslabón que vende la experiencia completa y cobra anticipos, y es el que menos protegida tiene su identidad de correo.

Las cadenas ya lo resolvieron

Medimos con la misma vara a 16 cadenas y marcas globales presentes en El Salvador (hoteleras y de renta de autos). El resultado es el espejo del anterior: 75% protegidas, sólo 25% expuestas.

No lo hicieron por tener más dinero: las tres piezas son gratis y se publican una vez. Lo hicieron porque tienen a alguien a cargo de que esté hecho. Ésa es la única diferencia, y es exactamente la que este estudio invita a cerrar, porque está al alcance de cualquier negocio.

Un hallazgo aparte: los que ni siquiera tienen dominio

Este estudio sólo pudo medir a las empresas que ya tienen un dominio propio. Al armar la muestra apareció un hallazgo que vale por sí mismo: la gran mayoría de los negocios turísticos salvadoreños no tiene sitio web propio. En el Registro Nacional de Turismo y en los directorios públicos, la mayor parte de hoteles, posadas, operadores y restaurantes aparece sólo con una página de Facebook, de Instagram o de un portal de reservas.

No tener dominio propio no es "estar a salvo" de la suplantación: es haberle entregado la relación con el cliente a una plataforma que no controlas, y renunciar al correo propio, a la marca y a la autenticación de la que trata este estudio. Es, antes que un problema de seguridad, un área de oportunidad del sector.

Y entre los que sí tuvieron dominio y lo soltaron, hay un riesgo concreto que verificamos: dominios de hoteles salvadoreños que caducaron y hoy los tiene un sitio de apuestas en línea (encontramos dos: uno de casino en polaco, otro de juego en línea en indonesio). El dominio que un negocio deja vencer, alguien lo recoge, y cualquiera que busque al hotel y haga clic termina en el sitio de otro. También encontramos dominios de hotel que hoy sirven con el certificado de seguridad vencido o a nombre de otro dominio, lo que hace que el navegador le muestre al visitante una advertencia de sitio no seguro.

Qué hacer, en el orden que funciona

Paso 1. Publicar o completar DMARC en modo observación. Un registro TXT en _dmarc.tudominio:

Con p=none no se bloquea nada todavía: empiezan a llegar informes de quién envía correo a nombre del dominio. Antes, asegurar que SPF y DKIM estén bien y que alguien lea el buzón de informes.

Paso 2. Revisar los informes de dos a cuatro semanas y confirmar que todo el correo legítimo (el propio, el de la plataforma de reservas, el de facturación) pasa la verificación.

Paso 3. Subir a p=quarantine y después a p=reject. Éste es el paso que de verdad protege, y es donde se quedó corta la tercera parte del sector. No conviene saltarse los anteriores: si un sistema propio envía sin estar declarado, sus correos se perderían.

Paso 4. Para quien no tiene dominio propio: registrarlo y montar el correo sobre él es el primer paso, antes que cualquier otra cosa de seguridad. Y para quien ya lo tiene: no dejarlo vencer.

Cómo se hizo esta medición

El método es público y cualquiera puede repetirlo. Esa es, a propósito, su mejor defensa.

Qué se consultó. Sólo registros DNS públicos: el TXT de _dmarc de cada dominio, su registro SPF y su registro MX (para saber si el correo está activo). Ni una sola petición se hizo a los sistemas de ninguna empresa: no se tocó ningún sitio web, no se intentó ninguna conexión de correo, no se accedió a nada privado. Es información que cualquiera puede leer, la misma que lee un servidor de correo cada vez que recibe un mensaje.

Qué cuenta como expuesto. Una empresa cuenta como protegida sólo si su DMARC está en quarantine o reject. Cuenta como expuesta si no tiene DMARC o si lo tiene en p=none (publicado pero sin bloquear). Cada medición tiene tres estados posibles, no dos: se mide bien, se mide y no existe, o no se pudo medir; esto último nunca se cuenta como "protegida" ni como "expuesta", se excluye.

Qué entró en la muestra. Sólo empresas turísticas salvadoreñas con dominio propio verificado uno por uno. La fuente principal fue el Registro Nacional de Turismo (MITUR/CORSATUR), complementada con directorios oficiales y listados públicos. Se excluyeron: los negocios que sólo tienen redes sociales o portales de reserva (sin dominio propio), los dominios que no resuelven, los homónimos de otros países y los subdominios de plataformas de reserva compartidas.

Cadenas, aparte. Las marcas y cadenas globales se midieron con la misma vara pero se reportan en su propio grupo, para no mezclar la realidad de la PyME salvadoreña con la de una corporación internacional.

Prueba de robustez. La muestra se construyó en dos rondas. Al pasar de 55 a 118 empresas, el porcentaje de expuestas se movió de 90.9% a 90.7%: dos décimas. Un resultado que no se mueve cuando la muestra se duplica no es casualidad, es la realidad del sector.

Alcance honesto. Esto es una muestra, no un censo. Mide a las empresas con dominio propio, que son las más avanzadas digitalmente del sector; el resto, que no tiene ni dominio, no está en mejor posición. El resultado apunta, si acaso, al lado conservador.

Nada de esto nombra a ninguna empresa. Todas las cifras son agregadas. La lista por dominio no se publica, no se vende y no se entrega a terceros: la única excepción responsable es informar a una empresa de su propio resultado.

Cómo saber en qué situación estás

Si manejas un negocio turístico y quieres saber en cuál de los tres grupos caes, hay una forma de verlo en un minuto, sin instalar nada. Desde cualquier computadora, esta consulta devuelve tu política DMARC:

Si no devuelve nada, no tienes DMARC. Si devuelve una línea con p=none, lo tienes publicado pero sin bloquear. Si dice p=quarantine o p=reject, estás del lado protegido. Es el mismo dato que midió este estudio, y es público: cualquiera en una sala lo puede comprobar sobre su propio dominio ahí mismo.

Fuentes