👩💻
Por el equipo de Campa&Go
Cofundadora de Campa&Go y profesional en activo en ciberseguridad. Esta guía es lo que yo le explico a mis amigos hosteleros cuando me preguntan por dónde empezar.
La hostelería es uno de los sectores más atacados por ciberdelincuentes en España. ¿La razón? Manejáis muchos datos sensibles (reservas con teléfonos, tarjetas de crédito en el TPV, cuentas de Google Maps) y, a la vez, sois pequeños y con poco presupuesto en IT. Una combinación ideal para quien busca víctimas fáciles. Esta guía no es alarmista: son los cinco frentes reales que cualquier autónomo hostelero debería cubrir, ordenados de más urgente a menos.
🛡️ ¿Prefieres comprobarlo tú mismo ahora?
Tenemos herramientas gratis para hacerlo en segundos: analizar un mensaje sospechoso, ver si pueden suplantar tu correo, comprobar una web o un QR antes de fiarte.
Ver las herramientas gratis →
1. RGPD y datos de tus clientes
El Reglamento General de Protección de Datos (RGPD) y su versión española (LOPDGDD) no son cosa solo de grandes empresas. Si tienes un restaurante pequeño que recoge teléfonos para reservas, tiene wifi para clientes, cámara de seguridad, programa de fidelización o newsletter, estás obligado a cumplirlo.
La Agencia Española de Protección de Datos (AEPD) sanciona cada año a cientos de bares y restaurantes españoles. Las multas más comunes son por no tener política de privacidad, por consentimiento mal recogido (casillas pre-marcadas, formularios sin checkbox) o por no informar de las cámaras con el cartel visible obligatorio.
⚠️ Caso real (anonimizado)
Un bar de tapas en Sevilla recibió una multa de 6.000€ en 2024 por tener un formulario de reservas en la web sin política de privacidad y sin checkbox de consentimiento. El cliente que les denunció era un letrado en formación. La denuncia fue gratis para él, la multa cara para el bar.
Obligaciones mínimas en hostelería
✅ RGPD para tu restaurante
- Política de privacidad visible en la web (enlace en el pie de página)
- Aviso legal con datos del titular (CIF, dirección, contacto)
- Consentimiento explícito en formularios (checkbox NO pre-marcado)
- Cartel de cámaras visible si tienes videovigilancia (modelo oficial AEPD)
- Registro de actividades de tratamiento (documento interno, no se publica)
- Eliminación de datos cuando el cliente lo pida (derecho al olvido)
- Wifi con captive portal si recoge datos del cliente
💡 Si haces 1 reserva al día con teléfono, en 1 año tienes una base de datos de 365 personas. Eso es legalmente "tratamiento de datos personales" y aplica RGPD.
2. Phishing en reservas y plataformas
El phishing es el engaño por correo o WhatsApp que simula ser una empresa conocida para robarte credenciales o dinero. En hostelería, los ataques más comunes son:
Phishing de reservas online: te llega un email que parece de tu plataforma de reservas habitual (con su logo, color y todo) avisando de "actividad sospechosa" o "cambio de comisión". Pide que entres y "verifiques" la cuenta. Si pones tu contraseña en esa página falsa, el atacante entra en tu cuenta real y manipula reservas, cobra a tus clientes o roba el saldo acumulado. Este timo lo desmontamos paso a paso, con ejemplos reales, en la guía de la estafa del falso email de reservas.
Phishing de Google My Business: te llega un correo "de Google" diciendo que tu ficha será suspendida si no verificas. Te llevan a una URL falsa que parece Google. Si caes, pierdes el control de tu ficha de Google Maps (donde están todas tus reseñas y horarios).
Phishing de proveedores: alguien suplanta a tu proveedor habitual de carne, pescado o bebida y te manda una factura con datos bancarios cambiados. Si pagas sin verificar, el dinero va a una cuenta del atacante.
⚠️ Señal típica de phishing en hostelería
Si el email te crea urgencia falsa ("verifica en 24h o tu cuenta será suspendida"), pide credenciales que ya tienes asociadas, o tiene faltas de ortografía, es phishing en el 95% de los casos. Llama por teléfono a la plataforma usando un número que TÚ busques en Google, no el que viene en el email.
Cómo entrenar a tu equipo en 5 minutos
🛡️ Regla de oro: "Cuelga y llama"
- Si alguien te llama o escribe pidiendo datos urgentes → cuelga
- Busca tú el teléfono oficial de la plataforma en Google
- Llama tú y pregunta: ¿es real esto?
- Si era real, no pasa nada. Si era phishing, te has salvado.
- Cuesta 3 minutos. Puede ahorrarte 3.000€ y tu reputación.
3. Proteger tu TPV de malware
El TPV de un restaurante es el objetivo más jugoso para un ciberdelincuente: pasa por él el cobro con tarjeta de cientos de clientes al mes. Si un TPV se infecta con malware tipo "RAM scraper", puede capturar números de tarjeta antes de que se encripten, y vender esos datos en la dark web.
Los TPV físicos antiguos (con sistema operativo Windows XP o similar) son especialmente vulnerables. Los TPV modernos en la nube son más seguros, pero solo si están bien configurados.
Riesgos típicos
USB infectados: alguien (incluso un empleado bienintencionado) enchufa su pendrive personal al TPV para imprimir algo. El pendrive trae un virus que se instala silenciosamente.
Navegación en el TPV: el camarero usa el TPV para ver el resultado del partido, mirar el correo personal, o ponerse Spotify. Cada web visitada es una puerta de entrada.
Contraseñas por defecto: muchos TPV vienen con contraseña "admin/admin" o "1234". Si no se cambia, es como dejar la puerta abierta.
Software pirata: instalar "cracks" o software descargado de webs raras es una de las vías principales de infección.
🔐 Protección del TPV en 6 reglas
- El TPV solo es para cobrar. Nada de YouTube, Facebook, ni correo personal
- Contraseñas únicas por usuario (camarero 1, camarero 2, encargado)
- Cierre de sesión obligatorio al cambiar turno
- Solo USBs del negocio. Si llega uno externo, no se enchufa
- Actualizaciones automáticas activadas (no las pospongas)
- 2FA (verificación en dos pasos) si el TPV es en la nube
💡 Si tu TPV es Windows XP o Windows 7, dejará de recibir actualizaciones de seguridad en algún momento. Es como conducir un coche sin frenos: funciona hasta que no funciona.
4. Wifi seguro: la separación crítica
La práctica más extendida —y más peligrosa— en hostelería pequeña es usar UNA sola red wifi para todo: clientes, TPV, cámaras, móvil del dueño, smart TV. Esto crea un agujero de seguridad enorme.
Si un cliente se conecta con su móvil infectado, el malware puede "saltar" de su móvil al TPV que está en la misma red. O al revés: si el TPV se infecta, puede atacar los dispositivos de los clientes y crearte un problema legal serio.
La solución: 2 redes wifi
La inmensa mayoría de routers modernos permiten crear 2 redes wifi gratis: una "principal" y una "para invitados". Aprovecha esto.
Wifi principal (privada): solo TPV, cámaras, ordenador del negocio, móviles del equipo. Contraseña larga (mínimo 12 caracteres), que solo conozca el dueño/encargado.
Wifi para invitados (clientes): aislada de la principal (no se pueden ver entre sí). Contraseña que puedes cambiar cada semana o cada mes. Idealmente con un "captive portal" para registrar el uso (legalmente recomendable). Si aún no la ofreces y quieres montarla bien desde el principio, tienes el paso a paso en wifi para clientes en tu bar.
📶 Configuración wifi recomendada
- Red privada con WPA3 o WPA2 (NO WEP que es obsoleto)
- Red invitados activada en modo "isolated" (los clientes no se ven entre sí)
- SSID oculto de la red privada (no aparece en el listado público)
- Cambia el SSID por defecto: NO uses "MOVISTAR_XXXX" (revela operador)
- Contraseña del router de administración cambiada (NO admin/admin)
- Firmware del router actualizado (al menos 1 vez al año)
📖 Guía completa: reseñas falsas y extorsión por reseñas →
5. Reseñas falsas y reputación online
Las reseñas en Google y en los portales de opinión pueden hacer o deshacer un restaurante en 2026. Y la guerra de reseñas falsas (positivas pagadas o negativas de competidores) es real.
Lo bueno: Google detecta cada vez mejor los patrones de bots. Lo malo: cuando te detectan haciendo reseñas falsas POSITIVAS, te pueden penalizar bajando tu posicionamiento de forma muy difícil de revertir.
Lo que NUNCA debes hacer
❌ Prácticas que te pueden hundir
- Comprar reseñas en webs tipo "compra 50 reseñas 5 estrellas por 99€" (Google las detecta)
- Pedir a familiares que te dejen 5 estrellas con cuentas nuevas (patrón sospechoso)
- Ofrecer comida gratis a cambio de reseñas (viola los términos de Google)
- Poner una tablet en el local con tu propia ficha abierta (Google detecta IPs locales)
- Pedir solo reseñas positivas (legalmente cuestionable como práctica desleal)
Lo que SÍ funciona
✅ Construcción honesta de reputación
- Pide reseñas a TODOS los clientes contentos (no filtres positivos)
- Responde a TODAS las reseñas, especialmente a las negativas, sin perder los nervios
- Soluciona el problema real ofrecido en la queja
- Si recibes una reseña falsa negativa evidente (de competencia, de cliente que nunca fue), denúnciala a Google con "Marcar como inapropiado"
- En casos graves de difamación, conserva pruebas y consulta con abogado
6. Estafas del día a día: QR falsos, contraseñas y robo de cuentas
Más allá del TPV y las reservas, al día a día del negocio le llegan tres timos muy repetidos. Con cinco minutos te cubres de casi todos.
QR falsos (quishing)
🔍 Antes de escanear un QR, mira esto
- Desconfía de un QR en pegatina pegada encima de otro (en el datáfono, en la terraza, en un cartel): es el truco más común para colar una web falsa.
- Cuando lo escanees, lee la dirección antes de tocar: si no es la web que esperas (tu banco, tu proveedor), no sigas.
- Ningún organismo serio te cobra una «multa» o un «recibo pendiente» por un QR que te llega suelto por correo o SMS.
Contraseñas y verificación en dos pasos
🔑 Lo mínimo que de verdad protege
- Una contraseña distinta para cada cosa (correo, banco, redes, TPV). Si te roban una, no caen todas.
- Usa un gestor de contraseñas para no tener que recordarlas; mejor una frase larga que una palabra con símbolos.
- Activa la verificación en dos pasos en el correo, el banco y las redes: es el candado que para casi todos los robos.
Que no te roben el WhatsApp o el Instagram del negocio
📱 Cómo blindar las cuentas del local
- El robo más común: alguien te dice que «le ha mandado un código por error» y te pide que se lo reenvíes. Ese código es la llave de tu cuenta: no lo compartas nunca.
- Activa la verificación en dos pasos también en WhatsApp e Instagram.
- Si trabajáis varias personas, que la cuenta no dependa de un solo móvil; y si ya te la han robado, usa el «¿Olvidaste tu contraseña?» y el soporte de la app cuanto antes.
📋 Plan en 5 acciones para esta semana
Si solo tienes 1 hora esta semana para mejorar tu ciberseguridad, haz esto:
🎯 Plan de 1 hora · 5 acciones
- Acción 1 (10 min): Cambia las contraseñas por defecto del router y del TPV. Usa una contraseña distinta para cada cosa.
- Acción 2 (10 min): Activa la red wifi de invitados en tu router (separada de la principal).
- Acción 3 (15 min): Revisa tu política de privacidad. Si no la tienes, hay generadores gratuitos online; lee el resultado antes de copiarlo.
- Acción 4 (10 min): Activa 2FA (verificación en dos pasos) en tu cuenta de Google My Business, tu plataforma de reservas, y tu Stripe (si lo usas).
- Acción 5 (15 min): Habla 10 minutos con tu equipo sobre phishing y la "regla cuelga y llama". Que sepan que si algo huele raro, te avisen.
Una herramienta más segura desde el día 1
Campa&Go está construida pensando en ciberseguridad: contraseñas con bcrypt, 2FA opcional, sin almacenamiento de tarjetas (Stripe), cumplimiento RGPD por diseño. Si vas a usar software para tu restaurante, asegúrate de que el que elijas se toma esto en serio.
Ver herramientas Campa&Go →
Cómo protegemos tus datos, punto por punto →