Alrededor de 8 mil 300 clientes de Grupo Xcaret quedaron expuestos tras un incidente de seguridad informática que permitió la extracción de información personal de sus sistemas de ventas de parques turísticos, confirmó el consorcio mediante un comunicado difundido durante el fin de semana.
La empresa informó que los registros afectados corresponden al 21 de octubre de 2026 y contienen direcciones de correo electrónico y números de teléfono celular de personas que utilizaron sus servicios.
Aunque el grupo empresarial aseguró que no se comprometieron cuentas bancarias ni tarjetas de pago, reconoció que se identificaron correos electrónicos y mensajes de texto que podrían utilizarse para solicitar cobros fraudulentos por reservaciones.
El consorcio, que opera hoteles y parques temáticos en Quintana Roo, señaló que el incidente se encuentra bajo control y que los clientes involucrados fueron contactados de manera individual para informarles sobre la situación.
Sin embargo, la exposición de datos de contacto representa un riesgo para los usuarios, debido a que esta información puede facilitar intentos de fraude mediante mensajes que aparentan provenir de la empresa.
¿Cómo ocurrió el hackeo a los sistemas de Grupo Xcaret?
De acuerdo con el comunicado, la empresa detectó mecanismos de comunicación no autorizados con sus sistemas de ventas, específicamente los relacionados con sus parques turísticos.
Esta situación permitió que terceros extrajeran información de contacto correspondiente a aproximadamente 8 mil 300 clientes.
“En días recientes, se detectó que, derivado de mecanismos de comunicación no autorizados a nuestros sistemas de ventas exclusivamente de nuestros parques, de los que se extrajeron datos de contacto como correos electrónicos y/o números de teléfono celular en los registros del 21 de octubre”, explicó la compañía.
Grupo Xcaret señaló que los registros involucrados representan menos del 0.003% del total acumulado durante 2026, según sus propias estimaciones.
Aunque la empresa destacó que se trata de una proporción reducida frente al total de sus registros, la vulneración involucra información personal de miles de usuarios.
Hasta el momento, el consorcio no ha explicado públicamente qué mecanismo permitió el acceso no autorizado, cuánto tiempo permaneció activa la vulneración ni si los responsables han sido identificados.
Tampoco precisó si presentó una denuncia ante las autoridades correspondientes o si se inició una investigación externa para determinar el origen del incidente.
Xcaret asegura que no se filtraron datos bancarios
Uno de los principales aspectos destacados por Grupo Xcaret es que, de acuerdo con sus revisiones, la vulneración no comprometió información financiera de los clientes.
La compañía sostuvo que los datos extraídos corresponden a información de contacto y no incluyen números de tarjetas de crédito, cuentas bancarias u otros medios de pago.
“Es importante puntualizar que ningún dato financiero como cuentas bancarias o tarjetas de pago fue comprometido”, aseguró el consorcio.
Asimismo, informó que las personas afectadas fueron notificadas individualmente y que el caso se encuentra bajo control.
No obstante, el hecho de que no se hayan expuesto datos bancarios no elimina los posibles riesgos para los usuarios.
Las direcciones de correo electrónico y los números telefónicos pueden ser utilizados por terceros para enviar mensajes fraudulentos, suplantar la identidad de empresas y solicitar información adicional.
Una modalidad similar fue documentada por La Verdad Noticias en un reportaje sobre la estafa de la reserva fantasma que llega por WhatsApp, mediante la cual los delincuentes utilizan información personal de las víctimas para hacerles creer que tienen pagos pendientes de hospedaje.
Por esta razón, la compañía recomendó mantenerse alerta ante comunicaciones relacionadas con supuestos pagos pendientes o reservaciones.
Alertan sobre mensajes fraudulentos a nombre de Xcaret
Tras detectar el acceso no autorizado, Grupo Xcaret identificó correos electrónicos y mensajes de texto que podrían utilizarse para solicitar pagos por reservaciones en nombre de la empresa.
El consorcio explicó que estas comunicaciones no necesariamente provienen de sus canales oficiales, por lo que pidió a sus clientes verificar cuidadosamente el origen de cualquier solicitud de pago.
“Se identificaron algunos correos y mensajes de texto, que pueden ser sujetos a intentos de cobro de reservaciones en nombre de Xcaret”, señaló.
También aclaró que nunca envía enlaces de cobro mediante mensajes de texto a teléfonos celulares.
“Xcaret nunca envía ligas de cobro a través de mensajes telefónicos de texto”, puntualizó la empresa.
De acuerdo con el comunicado, las comunicaciones oficiales de los canales de ventas de sus parques, enviadas por correo electrónico, provienen exclusivamente de las direcciones reservaciones@xcaret.com, reservations@xcaret.com y cotizaciones@xcaret.com.
Por esta razón, recomendó ignorar mensajes de cobro provenientes de números telefónicos o direcciones de correo electrónico diferentes a las señaladas.
La advertencia resulta especialmente relevante para quienes realizaron reservaciones recientemente, debido a que podrían recibir comunicaciones que aparenten estar relacionadas con sus compras.
¿Qué hacer si recibes un mensaje sospechoso de Xcaret?
Las personas que reciban mensajes sobre supuestos pagos pendientes de reservaciones deben verificar su autenticidad antes de proporcionar información personal o realizar cualquier transferencia.
Una de las principales recomendaciones es evitar abrir enlaces enviados mediante mensajes de texto, especialmente cuando soliciten introducir datos bancarios o efectuar pagos urgentes.
También es importante revisar cuidadosamente la dirección del remitente, ya que los responsables de este tipo de fraudes pueden utilizar nombres similares a los de empresas reconocidas para generar confianza.
De acuerdo con la Secretaría de Seguridad y Protección Ciudadana, los delincuentes digitales recurren a técnicas de engaño y suplantación de identidad para obtener información personal o acceder a cuentas de los usuarios.
La dependencia federal recomienda verificar la identidad de las empresas que solicitan información, evitar abrir enlaces sospechosos y prestar especial atención a mensajes que exigen realizar pagos o proporcionar datos de manera urgente.
También aconseja utilizar contraseñas seguras, activar mecanismos adicionales de autenticación y mantener actualizados los dispositivos electrónicos.
En el caso de los clientes de Xcaret, lo recomendable es consultar directamente los canales oficiales de la empresa para confirmar cualquier información relacionada con reservaciones o pagos pendientes.
Filtración de datos plantea retos de seguridad digital en el turismo
El incidente pone de relieve los desafíos de seguridad informática que enfrentan las empresas turísticas que administran grandes cantidades de información de clientes.
Las reservaciones de parques, hoteles y experiencias turísticas requieren el almacenamiento de datos personales que deben protegerse frente a accesos no autorizados.
Aunque Grupo Xcaret aseguró que la vulneración estuvo limitada a sus sistemas de ventas de parques y que no comprometió información financiera, el acceso a correos electrónicos y teléfonos puede generar riesgos posteriores para los usuarios.
Por ello, la protección de datos no depende únicamente de impedir el robo de información bancaria, sino también de evitar que terceros utilicen información personal para realizar intentos de fraude.
El caso también refleja la importancia de que las empresas cuenten con mecanismos para detectar accesos no autorizados y comunicar oportunamente cualquier incidente que pueda afectar a sus clientes.
Grupo Xcaret aseguró que el problema se encuentra bajo control, aunque todavía no ha proporcionado detalles sobre las medidas técnicas implementadas para evitar una nueva vulneración.
Por ahora, la empresa mantiene que aproximadamente 8 mil 300 clientes estuvieron involucrados en el incidente del 21 de octubre y que no se comprometieron datos financieros. La principal recomendación para los usuarios es desconfiar de solicitudes de cobro que lleguen por mensajes de texto o desde correos electrónicos distintos a los canales oficiales.
