Hoteles manejan datos, credenciales y sistemas conectados. Reducir costos sin evaluar riesgos puede convertir una cerradura barata en una vulnerabilidad costosa.
La puerta de una habitación parece un elemento sencillo de la experiencia hotelera: una tarjeta, una cerradura y el acceso del huésped. Pero detrás de ese gesto cotidiano opera una infraestructura tecnológica que puede incluir credenciales digitales, software, servidores o servicios en la nube, aplicaciones móviles y conexiones con otros sistemas del establecimiento.
Ese cambio obliga a replantear qué significa ahorrar en seguridad hotelera.
Iván Acevedo, director general en México de Vingcard | ASSA ABLOY, sostiene que evaluar una solución de acceso únicamente por el precio de las tarjetas o las cerraduras puede producir un ahorro aparente que ignore costos mucho mayores: fallas operativas, credenciales comprometidas, sustitución de infraestructura y eventuales incidentes de seguridad.
Su planteamiento encuentra respaldo en un entorno de amenazas que ha evolucionado incluso desde la publicación de algunos de los datos utilizados originalmente por el especialista.
El riesgo ya no está sólo en la llave
Las tarjetas continúan siendo visibles para huéspedes y operadores, pero la seguridad de un hotel moderno se extiende mucho más allá del plástico.
El informe 2025 Trustwave Risk Radar Report: Hospitality Sector advierte que la industria maneja grandes cantidades de información personal y financiera, entre ella datos de tarjetas de pago, pasaportes, identificaciones e itinerarios. Al mismo tiempo, hoteles y otros negocios de hospitalidad dependen cada vez más de servicios en la nube, dispositivos IoT, plataformas móviles y sistemas digitales.
Esa conectividad amplía la superficie que debe protegerse.
El análisis de Trustwave SpiderLabs identificó en abril de 2025 95,040 vulnerabilidades, correspondientes a 3,884 CVE, en su análisis de empresas del sector hospitalidad. De ellas, 14,318 fueron clasificadas como críticas y 1,521 aparecían en el catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA. De acuerdo con las métricas de su propia base de clientes, 61.5% de los intentos de acceso inicial aprovecharon servicios expuestos públicamente.
El problema, por tanto, ya no puede reducirse a preguntarse si alguien podría copiar una tarjeta.
Una brecha puede costar millones
Acevedo plantea una comparación especialmente relevante para quienes deciden presupuestos: cuánto representa el ahorro anual obtenido al comprar componentes más baratos frente al posible impacto económico de un incidente.
No existe una cifra universal para calcular cuánto costaría una brecha específicamente a un hotel. El tamaño de la propiedad, sistemas comprometidos, información afectada, legislación aplicable y duración de la interrupción pueden producir resultados muy distintos.
Sin embargo, IBM ofrece una referencia sobre la dimensión económica del problema.
Su Cost of a Data Breach Report 2025, realizado con investigación del Ponemon Institute, situó el costo promedio mundial de una filtración en 4.44 millones de dólares, frente a 4.88 millones del año anterior, una disminución de 9%. IBM atribuyó parte de esa reducción a una identificación y contención más rápidas.
La cifra no corresponde específicamente a hoteles y no debe presentarse como el costo que necesariamente enfrentaría uno de ellos. Sirve, en cambio, para dimensionar por qué la seguridad tecnológica dejó de ser únicamente un asunto del departamento de sistemas.
Las credenciales siguen bajo ataque
El artículo de Acevedo cita también el Data Breach Investigations Report 2025 de Verizon, según el cual el uso de credenciales comprometidas fue el vector inicial en 22% de las brechas estudiadas. Ese dato era correcto para aquella edición.
Pero el panorama ya cambió.
El DBIR 2026, publicado por Verizon en mayo, encontró que la explotación de vulnerabilidades de software se convirtió por primera vez en el principal vector inicial, con 31% de las brechas, mientras el abuso de credenciales descendió a 13%.
El descenso requiere una explicación: Verizon modificó su metodología al incorporar pretexting entre los vectores de acceso inicial. Sin ese cambio, el abuso de credenciales habría representado 16%, no 13%. Además, cuando Verizon contabiliza el abuso de credenciales en cualquier etapa de una brecha y no sólo como puerta de entrada, aparece en 39% de los casos.
En otras palabras, las credenciales no dejaron de ser un problema. Ahora comparten protagonismo con vulnerabilidades de software y formas más sofisticadas de ingeniería social.
El hotel es un ecosistema conectado
Aquí adquiere mayor peso el argumento planteado por Acevedo: una cerradura no debería analizarse aisladamente.
Los sistemas contemporáneos pueden conectar habitaciones, áreas comunes, ascensores, estacionamientos, aplicaciones móviles y sistemas de gestión de la propiedad. Cada integración aporta funcionalidad, pero también exige controles para impedir que una debilidad quede desatendida.
La propia Vingcard comercializa sistemas que permiten administrar de manera centralizada cerraduras y credenciales, tanto mediante infraestructura local como desde la nube, además de integrar llaves móviles y sistemas PMS.
Su solución de acceso móvil, por ejemplo, utiliza tecnología de credenciales Seos de ASSA ABLOY y canales cifrados para transmitir información de las llaves digitales. La empresa también ofrece sistemas capaces de utilizar teléfonos y dispositivos compatibles como credenciales de acceso.
Estas características corresponden a información del fabricante y no demuestran por sí mismas que una determinada plataforma elimine el riesgo. Sí ilustran hasta qué punto la tradicional llave de hotel se transformó en un componente de una infraestructura informática.
La nube tampoco elimina riesgos
Trasladar la administración de accesos a la nube ofrece ventajas operativas. Puede facilitar actualizaciones, gestión centralizada y supervisión sin intervenir físicamente cada dispositivo.
Vingcard señala que su plataforma Vostio realiza actualizaciones rutinarias automáticas y revisiones de vulnerabilidades, además de eliminar la necesidad de mantener determinados servidores locales.
Pero utilizar la nube no convierte automáticamente un sistema en seguro.
La protección depende también de cómo se administran identidades, permisos, actualizaciones, dispositivos, proveedores externos y credenciales. El DBIR 2026 refuerza precisamente la importancia de mantener actualizado el software: la explotación de vulnerabilidades desplazó al robo de credenciales como principal vía inicial de las brechas analizadas.
Para un hotel, esto implica evaluar no sólo cuánto cuesta instalar un sistema, sino quién lo mantiene, cómo recibe actualizaciones, durante cuánto tiempo tendrá soporte y qué sucede cuando aparece una vulnerabilidad.
El verdadero costo aparece después
El precio de una tarjeta es fácil de comparar. El de una infraestructura vulnerable resulta mucho más difícil de colocar en una hoja de cálculo.
Una solución aparentemente económica puede implicar posteriormente mantenimiento, sustitución anticipada, interrupciones, incompatibilidad con nuevos sistemas o mayores dificultades para corregir vulnerabilidades.
Ése es el fondo de la advertencia de Iván Acevedo: la decisión debería considerar el ecosistema completo y no únicamente el costo unitario del dispositivo que recibe el huésped.
La investigación independiente amplía esa tesis. El panorama descrito por Verizon y Trustwave muestra que las organizaciones enfrentan simultáneamente vulnerabilidades de software, ransomware, ingeniería social, credenciales comprometidas y servicios expuestos.
En la seguridad hotelera, por tanto, ahorrar no necesariamente significa gastar menos. La comparación adecuada debe considerar el costo total de mantener la infraestructura durante su vida útil y, sobre todo, el riesgo económico y operativo que el hotel acepta al elegirla.