Filtran datos de 8 mil 300 clientes de Xcaret tras hackeo; la empresa advierte sobre posibles fraudes con reservaciones

Grupo Xcaret informó que una vulneración en sus sistemas de venta permitió la extracción no autorizada de información de contacto de aproximadamente 8 mil 300 clientes.

El incidente, detectado el 21 de octubre, expuso correos electrónicos y números de teléfono celular, aunque la empresa aseguró que no se comprometieron datos financieros, como cuentas bancarias o tarjetas de pago.

De acuerdo con el comunicado de Grupo Xcaret, difundido por El Financiero y otros medios de Quintana Roo, la compañía identificó una brecha de seguridad relacionada con mecanismos de comunicación no autorizados y aseguró que el caso está bajo control.

México

SABG investiga posible exposición de datos de Aeroméxico

¿Qué datos de los clientes de Xcaret fueron filtrados?

La información extraída corresponde a datos de contacto de aproximadamente 8 mil 300 clientes registrados en los sistemas de venta de parques de Grupo Xcaret.

Según la empresa, los datos expuestos son:

• Direcciones de correo electrónico.
• Números de teléfono celular.

El corporativo aclaró que la vulneración no comprometió información financiera de sus clientes. En su comunicado, sostuvo que “ningún dato financiero como cuentas bancarias o tarjetas de pago fueron comprometidos”.

Xcaret también indicó que el número de personas afectadas representa menos del 0.003 % del total de registros procesados por la compañía durante 2026.

Aunque la información expuesta se limita a datos de contacto, estos pueden utilizarse para enviar comunicaciones engañosas que aparenten provenir de la empresa y busquen obtener dinero o información adicional de los usuarios.

¿Cuándo ocurrió el hackeo y qué informó Xcaret?

Grupo Xcaret informó que detectó la vulneración el 21 de octubre. Tras identificar la extracción no autorizada de información, la empresa aseguró que tomó medidas para atender el incidente.

En su comunicado, el corporativo afirmó que “el caso está bajo control y los clientes involucrados han sido contactados de manera individual”.

El aviso a los usuarios busca prevenir posibles intentos de fraude relacionados con reservaciones, en los que terceros podrían hacerse pasar por representantes de Xcaret para solicitar pagos o dirigir a las víctimas a enlaces fraudulentos.

Te puede interesar: Con clonación de voz y mensajes por IA: así operan los nuevos fraudes bancarios y cómo evitar caer según la SSPCM de Tijuana

¿Cómo identificar los mensajes falsos que utilizan el nombre de Xcaret?

Una de las principales advertencias de la compañía está relacionada con los mensajes que solicitan pagos por reservaciones o que incluyen enlaces para realizar cobros.

Xcaret señaló expresamente que nunca envía ligas de cobro a través de mensajes telefónicos de texto. Por ello, los usuarios deben desconfiar de los SMS que incluyan enlaces para pagar una reservación, incluso si mencionan el nombre de la empresa o datos que parezcan relacionados con una compra.

México

Aeroméxico responde por posible fuga de datos de clientes

El grupo turístico también precisó que las comunicaciones oficiales de los canales de venta de sus parques se realizan exclusivamente desde las siguientes direcciones de correo electrónico:

• reservaciones@xcaret.com
• reservations@xcaret.com
• cotizaciones@xcaret.com

La empresa pidió ignorar los requerimientos que provengan de direcciones distintas.

Si recibe un correo o mensaje que le solicita confirmar una reservación, realizar un pago urgente o proporcionar información personal, evite abrir los enlaces incluidos.

En caso de tener una compra pendiente, verifique la información mediante los canales oficiales de la compañía, en lugar de responder directamente al mensaje sospechoso.

¿Qué es el phishing y cómo podrían utilizar los datos filtrados?

El phishing es una modalidad de fraude digital en la que los delincuentes se hacen pasar por personas, empresas o instituciones legítimas para engañar a sus víctimas y conseguir información confidencial o dinero.

Este tipo de ataque puede llegar por correo electrónico, mensajes de texto, llamadas telefónicas o aplicaciones de mensajería. Los responsables suelen utilizar comunicaciones que aparentan ser legítimas para generar confianza o presionar a las personas a actuar rápidamente.

En el caso de Xcaret, los correos electrónicos y números de teléfono expuestos podrían facilitar el envío de mensajes dirigidos a los clientes, por ejemplo, mediante supuestos avisos sobre reservaciones o solicitudes de pago.

El objetivo puede ser que la víctima pulse un enlace que la lleve a una página falsa, diseñada para imitar un sitio legítimo, o que descargue un archivo malicioso. A partir de ahí, los atacantes pueden intentar obtener contraseñas, datos bancarios u otra información personal.

¿Qué deben hacer los clientes de Xcaret para evitar un fraude?

Ante la vulneración reportada, conviene tomar algunas medidas para reducir el riesgo de caer en engaños relacionados con el nombre de la empresa.

• No abra enlaces de cobro recibidos por SMS. Xcaret advirtió que no utiliza mensajes de texto para enviar ligas de pago.
• Verifique el remitente de los correos. Compruebe que la dirección corresponda a uno de los canales oficiales que la compañía identificó.
• No comparta información confidencial. Evite proporcionar contraseñas, datos bancarios o números de tarjetas en respuesta a mensajes inesperados.
• Desconfíe de las solicitudes urgentes. Los mensajes que exigen pagar de inmediato para evitar la cancelación de una reservación pueden ser un intento de fraude.
• Compruebe cualquier cobro antes de pagarlo. Si tiene una reservación vigente, consulte directamente con la empresa mediante sus canales oficiales.
• No descargue archivos sospechosos. Un documento o archivo adjunto puede utilizarse para intentar instalar software malicioso en su dispositivo.

Estas precauciones son relevantes incluso para quienes no han recibido una notificación directa de la empresa, ya que los intentos de fraude pueden circular por diferentes medios.

Por ahora, la recomendación central de Xcaret es ignorar las solicitudes de cobro que lleguen desde direcciones no oficiales y recordar que la compañía no envía enlaces de pago mediante mensajes de texto.

La vulneración pone de relieve la importancia de verificar el origen de las comunicaciones antes de compartir información o realizar transferencias, especialmente cuando se trata de reservaciones y servicios turísticos.

Te puede interesar: Detienen por segunda vez a ex titular de Desarrollo Urbano de Aguascalientes, por presunto fraude y falsificación de documentos en un caso que supera los 600 mil pesos