Vuelo cancelado por hackers: paguen el hotel por su cuenta; nueva norma del DOT traslada la responsabilidad a los pasajeros.

Un ciberataque a una aerolínea en EE. UU. pronto se considerará una circunstancia fuera de su control, si la aerolínea cumplió con los requisitos obligatorios de ciberseguridad. Desde el 19 de octubre el Departamento de Transporte de EE. UU. (DOT) introduce una categoría de causas de retrasos y cancelaciones que incluye explícitamente los ciberataques. El nuevo esquema cambia tanto la estadística oficial como el conjunto de servicios a los que puede tener derecho el pasajero.

El efecto práctico va mucho más allá de las estadísticas de vuelos. Los planes de atención al pasajero vinculan la comida gratuita, el alojamiento, el traslado y algunos tipos de compensación precisamente a los retrasos y cancelaciones que están bajo el control de la aerolínea. El DOT espera que, tras el cambio, el número de casos con dichos beneficios se reduzca, aunque todavía no puede estimar su magnitud exacta.

Para los ciberataques rige una condición importante: la exclusión se aplica solo si la aerolínea cumplió las normas aplicables de ciberseguridad. La redacción no está ligada a un único estándar, por lo que el conjunto de requisitos puede depender de los sistemas afectados y de las circunstancias del incidente. El mero hecho del ataque no permite considerar automáticamente la falla como fuera del control de la aerolínea.

El ciberataque se convirtió en solo uno de diez eventos que el Congreso ordenó excluir de la categoría de causas controladas por las aerolíneas, en la ley de reautorización de la Administración Federal de Aviación (FAA) de 2024. El DOT no realizó la etapa habitual de comentarios públicos, pues consideró la lista de obligado cumplimiento y trasladó las redacciones de la ley sin interpretación adicional.

El derecho al reembolso del billete se mantiene por separado. Si la aerolínea canceló el vuelo o lo modificó sustancialmente o lo retrasó, el pasajero puede rechazar la alternativa ofrecida y obtener un reembolso independientemente de la causa de la avería. Para el reembolso, la causa del incidente no influye. La nueva norma afecta sobre todo a la comida, el alojamiento, el traslado y otros servicios durante la espera.

La aviación ya se había enfrentado a ciberincidentes que se convirtieron rápidamente en problemas para los pasajeros. En septiembre de 2025, el ataque contra Collins Aerospace interrumpió el registro en Heathrow, Bruselas y Berlín, obligó a los aeropuertos a recurrir a procedimientos manuales y provocó retrasos y cancelaciones de vuelos en Europa. El impacto afectó al proveedor común de sistemas, no a una única aerolínea.

El riesgo también subsiste en las cadenas de proveedores. En febrero de 2026, una cuenta filtrada dio acceso a un portal de servicio vinculado a más de 200 aeropuertos; no se produjo un ataque real entonces. El incidente mostró la magnitud del posible fallo si la compromisión afectara la infraestructura común de varios nudos aéreos a la vez. Un escenario así podría afectar a decenas de aerolíneas simultáneamente.