Cibersegurança em hotéis: guia para gestores no Brasil

Hotéis tratam dados pessoais e de pagamento em quase toda interação com o hóspede, operam sistemas críticos sem interrupção e dependem de muitos fornecedores de tecnologia com acesso à sua rede. Isso torna o setor um alvo atrativo, como mostram casos de grande repercussão envolvendo redes como Marriott e MGM Resorts.

Este guia é o ponto de partida. Os números do setor, com as fontes, estão no relatório de risco de cibersegurança hoteleira 2026; os casos reais de redes hoteleiras atacadas, no artigo sobre riscos de cibersegurança em hotéis.

Por que hotéis são alvo

Três características colocam a hotelaria na mira:

• Dados concentrados: documento de identidade, dados de cartão, histórico de estadias e preferências de milhares de hóspedes, reunidos no PMS e nos sistemas ligados a ele.
• Uma operação que não pode parar: um hotel sem PMS perde reservas, check-ins e cobranças a cada hora. Essa pressão é o que o ransomware explora para cobrar o resgate.
• Muita gente e muitos fornecedores: rotatividade na recepção, terceirizados com acesso remoto e muitos sistemas integrados, cada um com suas próprias senhas e atualizações.

A superfície de ataque de um hotel

A superfície de ataque em um hotel é muito maior do que parece. Os principais vetores incluem:

Sistemas de PMS: O Property Management System é o coração da operação. Uma brecha nele pode expor dados de hóspedes, histórico de pagamentos, contratos corporativos e, dependendo da arquitetura de pagamento, dados ou tokens de cartão. Muitos PMS no Brasil ainda rodam em versões desatualizadas ou em infraestrutura sem segmentação adequada de rede.

Redes Wi-Fi para hóspedes: Quando a rede de hóspedes não está isolada da rede operacional do hotel, um atacante que acessa o Wi-Fi do lobby pode alcançar sistemas internos. É um problema recorrente. Veja como proteger a rede no guia de segurança de Wi-Fi para hóspedes.

Terminais de pagamento: POS mal configurados ou com software desatualizado são vetores de roubo de dados de cartão. O setor hoteleiro é frequentemente alvo de ataques específicos a esses pontos.

Fornecedores com acesso remoto: Integradores de sistemas, fornecedores de TV sob demanda, provedores de sistemas de reserva: muitos têm acesso remoto à infraestrutura do hotel. Sem controle de quem acessa o quê e quando, cada fornecedor é uma potencial porta de entrada. O guia de gestão de fornecedores de TI mostra o que exigir em contrato.

E-mail e contas online: Ataques de business email compromise (BEC) são comuns na hotelaria, especialmente visando pedidos de transferência bancária ou alteração de dados de fornecedores. A equipe de contas a pagar é um alvo frequente, assim como as contas do hotel nas OTAs. A IA tornou esses golpes mais convincentes, como mostramos em golpes com IA contra hotéis.

Fechaduras, câmeras e automação: Fechaduras eletrônicas, câmeras, TVs e automação predial costumam receber poucas atualizações e muitas vezes ficam na mesma rede dos sistemas administrativos, o que as transforma em ponto de entrada ou em alvo de um ataque que se espalha pela rede.

O que muda no Brasil

Os vetores acima valem para qualquer hotel no mundo. Quatro temas são específicos da operação no Brasil:

Pix: Comprovantes falsos ou adulterados, cobranças fraudulentas via WhatsApp e perfis falsos em nome do hotel. Como o Pix é instantâneo e difícil de reverter, a proteção está no processo, como confirmar o crédito no extrato antes de liberar a reserva. Os golpes mais comuns estão em golpes de Pix e fraude em reservas.

LGPD: Um incidente com dados pessoais que possa causar risco ou dano relevante precisa ser comunicado à ANPD e aos hóspedes afetados em até 3 dias úteis (Resolução CD/ANPD nº 15/2024). Sem um plano pronto, o prazo passa antes de o hotel entender o que aconteceu. Veja o que a LGPD exige dos hotéis e o que fazer nas primeiras 48 horas de um vazamento.

FNRH Digital: Desde 20 de abril de 2026, a Ficha Nacional de Registro de Hóspedes é enviada exclusivamente pela plataforma FNRH Digital, em geral por integração com o PMS. É mais uma integração com dados pessoais de hóspedes: vale saber quem tem as credenciais de acesso e o que o PMS envia.

PCI DSS: Todo hotel que aceita cartão está no escopo do PCI DSS, exigido pelas bandeiras por meio do adquirente. A versão em vigor é a 4.0.1, e a segmentação de rede é o que mais reduz o escopo. Detalhes no guia de PCI DSS para hotéis.

Ransomware na hotelaria

O ransomware é uma das ameaças mais disruptivas para o setor hoteleiro. Um ataque bem-sucedido pode bloquear o acesso ao PMS no meio de um fim de semana de alta ocupação, forçar o hotel a processar check-ins e pagamentos manualmente e, em casos graves, interromper o acesso a fechaduras eletrônicas.

Os ataques normalmente não começam pelo PMS. Eles entram por e-mail de phishing direcionado a um membro da equipe, por uma VPN sem autenticação multifator, ou por um fornecedor com acesso remoto pouco controlado. A partir daí, o ransomware se move lateralmente pela rede até atingir os sistemas críticos.

O guia sobre como proteger um hotel contra ransomware detalha os controles que mais reduzem o risco, o que fazer nas primeiras horas e como recuperar a operação sem reinfectar a rede.

Por onde começar

Em geral, o hotel não precisa de uma transformação de segurança completa de imediato. Precisa resolver as lacunas mais críticas primeiro.

Inventário de ativos e acessos: Você sabe quais dispositivos estão na sua rede? Quem tem acesso remoto ao PMS? Qual fornecedor pode se conectar ao seu sistema de fechaduras? Sem esse mapa, qualquer esforço de segurança é incompleto.

Segmentação de rede: A rede de hóspedes deve estar completamente separada da rede operacional. Isso limita o raio de ação de um atacante que comprometa o Wi-Fi do lobby.

Autenticação multifator (MFA): Para e-mail corporativo, VPN, e qualquer sistema com acesso remoto. É uma das medidas com melhor custo-benefício disponíveis.

Gestão de vulnerabilidades e patches: Atualizações aplicadas com cadência definida, e uma lista dos sistemas que não podem ser atualizados, com o motivo e a compensação adotada para cada exceção, como isolamento de rede ou acesso restrito. Veja como tratar esses casos no guia de sistemas legados e Windows sem suporte.

Backups isolados e testados: Uma cópia fora da rede principal, com restauração testada de verdade. É um dos fatores que mais pesam na rapidez com que o hotel volta a operar depois de um ransomware.

Avaliação de fornecedores: Revise quais fornecedores têm acesso à sua rede, com que frequência e por quais mecanismos. Contratos devem incluir requisitos mínimos de segurança.

Plano de resposta a incidentes: Quando um ataque ocorre, a equipe sabe o que fazer? Quem acionar? Quais sistemas isolar? Sem esse plano, a resposta será caótica.

Para saber onde o seu hotel está hoje, use o checklist de cibersegurança hoteleira ou faça a avaliação online, calculada no seu navegador.

Quem responde pela segurança

Em muitos hotéis, a segurança fica espalhada: o MSP cuida de parte da rede, o fornecedor do PMS cuida da aplicação, a recepção cuida das senhas, e ninguém responde pelo conjunto. Ferramentas ajudam, mas o que costuma faltar é alguém que defina as prioridades, cobre os fornecedores e preste contas à diretoria.

Em hotéis que não têm porte para um gestor de segurança em tempo integral, esse papel pode ser exercido por um CISO virtual. A divisão de tarefas entre o hotel e cada fornecedor está no guia de responsabilidades de TI do hotel e dos fornecedores.

Nossa equipe de cibersegurança hoteleira pode conduzir uma avaliação inicial da sua postura de segurança e identificar as prioridades de ação.

Guias de cibersegurança hoteleira

• Riscos de cibersegurança em hotéis: as superfícies de ataque recorrentes e os casos reais do setor.
• Relatório de risco de cibersegurança hoteleira 2026: os números do setor, com fontes.
• Como proteger um hotel contra ransomware: prevenção, resposta e recuperação.
• Golpes de Pix e fraude em reservas: como proteger recepção e reservas.
• Golpes com IA contra hotéis: phishing, deepfake de voz e invasão de contas nas OTAs.
• Segurança de Wi-Fi para hóspedes: segmentação e registros de conexão.
• PCI DSS para hotéis: escopo, SAQ e as exigências da versão 4.0.1.
• LGPD para hotéis: o que a lei exige na prática.
• Vazamento de dados no hotel: o que fazer nas primeiras 48 horas.
• Gestão de fornecedores de TI: contratos, acessos e saída sem dependência.
• CISO virtual para hotéis: quando faz sentido e o que inclui.

Fontes

• ANPD, Resolução CD/ANPD nº 15, Regulamento de Comunicação de Incidente de Segurança (abril de 2024), in.gov.br
• PCI Security Standards Council, PCI DSS v4.0.1 e Self-Assessment Questionnaires, pcisecuritystandards.org
• MGM Resorts International, Form 8-K (outubro de 2023), sec.gov