Me piden por mail Nro Tarjeta, caducidad y CVV para reserva de hotel ¿Es normal lo del CVV?

Un hotel pide el CVV por email: la reserva que no debes aceptar​

Un hotel fuera de España responde a un cliente por correo electrónico con una propuesta que, a primera vista, parece inocente: como las fechas solicitadas aún no están abiertas en Booking, la propia recepción se ofrece a tramitar la reserva. Solo hay que enviar por email el número de tarjeta, la fecha de caducidad y el código CVV. El cliente acepta los dos primeros datos, pero el tercero le hace saltar las alarmas. La duda que plantea —¿es normal que un establecimiento pida el CVV por correo?— recorre una conversación en la que la respuesta mayoritaria es un no rotundo, con matices que conviene separar.

Qué es el CVV y por qué no se envía por email​

El CVV nació precisamente para lo contrario: para que quien tuviera el número de una tarjeta no pudiera operar con ella sin el plástico físico delante. No está grabado en la banda magnética ni aparece en los datafonos; solo se imprime en el reverso. Su función es verificar que el titular tiene la tarjeta en su poder en el momento de la compra. Por eso su lugar natural es una pasarela de pago, no una bandeja de entrada.

En el correo electrónico no hay cifrado de extremo a extremo garantizado. El mensaje queda almacenado en el buzón del hotel y en el del cliente, y puede ser leído por cualquiera con acceso a esas cuentas: desde el informático del establecimiento hasta un empleado con la contraseña compartida. La normativa de las tarjetas —el estándar PCI-DSS y las reglas de Visa y Mastercard— prohíbe expresamente almacenar el CVV después de la transacción. Un hotel que lo pide por email para guardarlo como garantía durante meses está, como mínimo, fuera de ese marco.

La garantía de pago: el argumento del establecimiento​

La defensa del sector es razonable en su lógica: quien reserva quiere tener la habitación garantizada al llegar, y el hotel quiere tener garantizado el cobro. Un cliente que no se presenta o cancela en el último momento deja una habitación vacía que ya no se puede vender. Por eso muchos establecimientos piden una tarjeta como garantía y aplican un cargo parcial o total si la reserva se incumple.

El problema no es el principio, sino el método. Un hotel puede solicitar los datos de la tarjeta a través de una pasarela segura, o pedir una transferencia bancaria para las reservas con antelación. Lo que no debería hacer es acumular números de tarjeta y CVV en una cuenta de correo. Quien defiende esta práctica sostiene que en el resto de Europa es habitual y que nunca ha tenido problemas; el argumento se apoya en la experiencia personal, no en la norma.

Tarjetas virtuales y prepago: la defensa práctica​

La solución que más consenso genera no pasa por negarse a reservar, sino por no exponer la tarjeta principal. Las tarjetas virtuales de un solo uso, generadas y cargadas en el momento de la compra, permiten dar un número que deja de ser válido en cuanto termina la operación. Las tarjetas prepago con saldo mínimo cumplen una función parecida: si alguien intenta un cargo posterior, no hay fondos que rascar.

Hay quien lleva esta compartimentación al extremo: una tarjeta para hoteles, otra para compras online, otra para suscripciones y una última con un euro de saldo para los sitios que solo piden el plástico como verificación. La gestión es un incordio, admiten, pero el día que un establecimiento intenta cobrar de más, el daño está acotado. La anécdota que circula en la conversación —un hotel que intentó cargar 100 euros por una mancha de vino en las sábanas— ilustra por qué conviene tener el número bajo control.

El detalle que descoloca: la tarjeta desactivada que sigue cobrando​

La conversación da un giro cuando quien planteó la duda comprueba que su tarjeta llevaba meses desactivada y, aun así, Booking le había cobrado una reserva reciente sin problema. La conclusión que extrae es incómoda: el botón de desactivar de la banca online puede no estar bloqueando los cargos del comercio electrónico, o al menos no todos. Ese hallazgo refuerza la tesis de que la seguridad no depende de un interruptor, sino de no entregar nunca los datos que permiten operar.

Qué hacer si un hotel pide el CVV por correo​

La recomendación que se repite es sencilla: no enviar el CVV por email, y tampoco el número completo de la tarjeta si se puede evitar. Si el establecimiento no ofrece una pasarela de pago o una transferencia, la alternativa es esperar a que las fechas se abran en la plataforma de reservas, aunque salga más caro. La diferencia de precio es un seguro barato comparado con el riesgo de que los datos acaben en manos ajenas.

Si aun así se decide dar una tarjeta como garantía, la opción más citada es una prepago con saldo mínimo o una virtual de un solo uso. Y si el cargo se produce de forma indebida, la vía es reclamar y, en su caso, denunciar. La conversación no cierra el asunto: el cliente todavía no ha recibido respuesta del hotel sobre si acepta una vía alternativa.