Points Capital

Read this in English

Aterriza, recoge la maleta y publica la foto obligatoria de «ya llegamos»: el pasaporte, el pase de abordar y quizá la etiqueta del equipaje todavía colgada del asa. Parece inofensivo. También es una de las formas más fáciles de entregarle a un desconocido su nombre, su código de reserva, su número de viajero frecuente y, en algunos casos, las llaves para cambiar o cancelar su próximo vuelo. Aquí explicamos qué está impreso realmente en ese pase, qué puede hacer alguien con esa información y los hábitos sencillos que cierran la puerta.

Qué contiene el código de barras

Casi todos los pases de abordar de las aerolíneas del mundo siguen un mismo estándar de la IATA, el Bar Coded Boarding Pass (BCBP, Resolución 792). Los pases en papel usan por defecto un código de barras PDF417 y, desde 2018, el estándar también permite códigos Aztec, Data Matrix o QR en papel, los mismos formatos que ya ve en los pases digitales. El estándar define un conjunto fijo de campos y la guía de implementación es pública, así que el formato no es ningún secreto.

En la práctica, el código de barras contiene al menos lo mismo que está impreso en el pase: su nombre, el localizador de reserva de seis caracteres (PNR), la aerolínea, el número de vuelo, la fecha, el origen, el destino y el asiento. Según la aerolínea, también puede incluir su número de viajero frecuente, el número de la etiqueta de equipaje y otros campos. Cuando el periodista de seguridad Brian Krebs cubrió el tema en 2015, un lector había decodificado el pase de Lufthansa de un amigo a partir de una foto de Facebook y obtuvo el nombre, el número de viajero frecuente y el localizador de reserva en cuestión de segundos. El Aerospace Village lo resume sin rodeos: los códigos suelen contener la misma información personal que el texto impreso, y a veces más, y todos se pueden decodificar con herramientas disponibles en línea.

Decodificarlo no requiere ninguna habilidad. Los sitios web y las aplicaciones gratuitas para leer códigos de barras leen un código PDF417 o Aztec directamente desde una foto. Tapar parte del código con el pulgar protege menos de lo que parece: los códigos 2D incorporan corrección de errores, y la matemática Hannah Fry comentó en el pódcast The Rest Is Science que se puede cubrir aproximadamente un tercio de un código QR y aun así se escanea. Una foto de alta resolución a la que se le hace zoom facilita la lectura de un código pequeño o parcialmente tapado, en lugar de dificultarla.

Qué puede hacer alguien con esa información

El localizador de reserva es la pieza que importa. La mayoría de las páginas de «gestionar mi reserva» de las aerolíneas piden exactamente dos datos: el PNR y el apellido del pasajero. Ambos están en el pase, en texto plano y en el código de barras. Krebs describió el localizador como «esencialmente una contraseña temporal», que es una forma justa de verlo.

Lo que expone ese acceso varía según la aerolínea, y esa es una salvedad honesta. En los casos documentados por Krebs, el lector que decodificó el pase de Lufthansa pudo ver el número de teléfono de su amigo, el nombre de la persona que reservó el viaje y todos los vuelos futuros de Star Alliance vinculados al número de viajero frecuente, y afirmó que habría podido cambiar asientos o cancelar vuelos próximos. En un seguimiento de 2017, el investigador de seguridad Michal Špaček usó un código de reserva y un apellido tomados de una foto de Instagram para entrar en una reservación de British Airways, donde podía cancelar vuelos y ver o editar el número de pasaporte, la nacionalidad, la fecha de vencimiento del pasaporte y la fecha de nacimiento registradas. La consultora de ciberseguridad Lisa Forte, de Red Goat, escaneó su propio pase y encontró su nombre completo y su fecha de nacimiento en el código de barras, y señala que un PNR puede contener datos del pasaporte, información de contacto, los últimos cuatro dígitos de una tarjeta de pago y solicitudes de servicios especiales, como necesidades médicas.

Luego está el ángulo del viajero frecuente. United, por ejemplo, oculta en sus correos todos los caracteres de un número MileagePlus salvo los tres últimos, lo que indica que la aerolínea trata el número como semisecreto. El número completo estaba en el código de barras del pase de abordar. En 2015, el número más un apellido bastaban para superar el primer paso del proceso de restablecimiento del PIN de United; el paso restante era una pregunta de seguridad cuya respuesta (el apellido de soltera de la madre) suele poder encontrarse en redes sociales. United añadió después un paso de confirmación por correo electrónico, pero el punto general se mantiene: un número de programa más los datos personales de un pase es una ventaja inicial para apropiarse de una cuenta y robar puntos, y es un punto de partida convincente para un correo falso de phishing del tipo «su ascenso de clase está listo» que mencione su vuelo real.

Forte también probó una docena de sitios de reservas de aerolíneas en 2018 y no encontró ningún bloqueo aparente tras varios códigos incorrectos seguidos. Las aerolíneas han tenido tiempo de reforzar sus sistemas desde entonces, pero nosotros no apostaríamos un viaje a ello.

Etiquetas de equipaje y pases de papel viejos

La etiqueta del equipaje es el mismo problema con otro envoltorio. Las etiquetas que emite la aerolínea llevan su nombre, la ruta y un código de barras, y el código de reserva también está impreso en ellas. Forte comprobó que los códigos de barras de las etiquetas contenían la misma información que su pase de abordar y que las etiquetas rara vez se desechan de forma segura. Su búsqueda en Instagram encontró muchísimas etiquetas legibles, y en muchas fotos «seguras» de pases de abordar el nombre estaba tapado con una mano o con el pasaporte mientras el código de barras quedaba a la vista. Algunas etiquetas y recibos también imprimen el número de teléfono que usted le dio a la aerolínea.

Los pases de papel no dejan de ser delicados cuando termina el vuelo. El localizador de reserva suele seguir vigente durante el resto del itinerario, y un pase olvidado en el bolsillo del asiento, en un bote de basura del aeropuerto o en la papelera de la habitación del hotel puede leerlo quien lo recoja después. El consejo de Krebs no ha cambiado en una década: lléveselos a casa y destrúyalos en la trituradora.

El manual de Points Capital

Antes del viaje

1. Active la autenticación de dos factores en todas las cuentas de viajero frecuente y de hotel que la ofrezcan, y use una contraseña única. Para un ladrón, los saldos de puntos son dinero en efectivo.
2. Verifique si su aerolínea permite agregar un PIN o una contraseña a la reservación misma. No todas lo permiten; si la suya sí, eso bloquea el acceso con solo el PNR y el apellido.
3. Use por defecto el pase de abordar digital. Si imprime una copia de respaldo, trátela como un documento, no como un recuerdo.

Durante el viaje

4. No publique fotos del pase, de la etiqueta del equipaje, del recibo del boleto ni de la pantalla de su teléfono con el pase digital abierto. Un código de barras completo es un código de barras completo, sea en papel o en píxeles.
5. Si tiene que compartir un pase, recorte o cubra por completo todo el código de barras y el PNR antes de subirlo. Las herramientas de desenfoque y taparlo a medias con el pulgar no son confiables.
6. Quite las etiquetas del equipaje antes de la foto de «miren mi maleta nueva».
7. Bájese del avión con su pase de papel. Nunca lo deje en el bolsillo del asiento ni en un bote de basura del aeropuerto.

Después del viaje

8. Destruya en casa los pases de abordar, las etiquetas de equipaje, los talones de reclamo de equipaje y los recibos impresos. Una trituradora pequeña de corte cruzado es una solución barata; partir un código de barras por la mitad no lo es.
9. Conserve lo que necesite para un reporte de gastos o una reclamación de millas hasta que se resuelva, y luego destrúyalo.
10. Esté atento a correos de cambio de reserva, cambio de asiento o restablecimiento de contraseña que usted no haya solicitado, y revise sus saldos de puntos como revisa un estado de cuenta bancario.

Nuestra opinión

Nada de esto exige paranoia. El riesgo realista no es un hacker de película; es un desconocido aburrido con un decodificador gratuito, o un estafador que ahora conoce su número de vuelo y puede redactar un correo muy convincente. La solución no cuesta nada: mantenga el código de barras fuera de internet, mantenga el papel fuera de la basura y proteja las cuentas de lealtad donde guarda sus puntos. La foto de «ya llegamos» se ve igual de bien con el pase fuera del encuadre.

Relacionado en Points Capital: Modo Hermético del iPhone para viajar: qué bloquea, cuándo lo usamos y cómo activarlo, VPNs for Travel: Which “No-Logs” Claims Are Independently Verified (en inglés) y How to Use a Travel Router in a Hotel (en inglés).

Fuentes

• Krebs on Security: What’s in a Boarding Pass Barcode? A Lot (2015)
• Krebs on Security: Why It’s Still a Bad Idea to Post or Trash Your Airline Boarding Pass (2017)
• IATA: Common Use Standards, incluido el estándar Bar Coded Boarding Pass (BCBP)
• Aerospace Village: Bar Coded Boarding Pass (BCBP)
• Red Goat Cyber Security: The not-so-secret life of boarding passes
• CBS News: Information on boarding pass barcodes poses personal security risk
• Mental Floss: Why ‘Travel Braggers’ Should Think Twice Before Sharing Their Boarding Pass
• LADbible: Warning over posting a photo of your boarding pass even if the QR code is covered (Hannah Fry, The Rest Is Science)

Las funciones de seguridad de las aerolíneas cambian; consulte la configuración de su cuenta en la aerolínea para conocer las protecciones más recientes.

Traducción del artículo original en inglés publicado el 20 de octubre de 2026.