Como proteger um hotel contra ransomware: prevenção, resposta e recuperação

Em setembro de 2023, a MGM Resorts, uma das maiores operadoras de resorts e cassinos dos Estados Unidos, teve reservas, check-in e chaves digitais afetados em suas propriedades americanas por vários dias. Em comunicado à SEC, a empresa estimou um impacto negativo de cerca de US$ 100 milhões no EBITDAR ajustado das propriedades no trimestre. Segundo as reportagens da época, o ataque não explorou uma vulnerabilidade sofisticada: começou com uma ligação de engenharia social ao suporte de TI, que redefiniu a senha de um funcionário. O restante da história é o que este artigo trata de evitar.

Muitos hotéis reúnem três características que interessam aos grupos de ransomware: sistemas legados de POS e PMS com patches atrasados, dados de cartão e documentos de identidade concentrados em poucos servidores, e uma operação que não pode parar. É essa última que dá ao invasor a alavancagem. Um escritório consegue trabalhar alguns dias sem o ERP; um hotel com 200 hóspedes chegando, sem um procedimento de contingência, mal consegue operar algumas horas sem o PMS.

Como o ataque acontece em um hotel

O ransomware moderno não é um vírus que chega e criptografa tudo em minutos. É uma operação humana, muitas vezes conduzida por afiliados de grupos de ransomware-as-a-service (RaaS) que compram acesso inicial de terceiros e passam semanas dentro da rede antes de agir. Em um hotel, a sequência típica é a seguinte.

Acesso inicial

Entre os pontos de entrada frequentes estão um e-mail de phishing para a recepção ou o financeiro (disfarçado de confirmação de reserva, fatura de OTA ou boleto de fornecedor), um acesso remoto (RDP ou VPN) exposto à internet sem autenticação multifator, credenciais reutilizadas de vazamentos anteriores e, cada vez mais, o acesso remoto que fornecedores de PMS, POS e fechaduras mantêm com senhas compartilhadas e nunca trocadas. Ligações de engenharia social ao suporte de TI, pedindo redefinição de senha em nome de um gerente, completam a lista.

Reconhecimento e movimento lateral

Uma vez dentro, o invasor mapeia a rede: onde está o PMS, onde estão os servidores de arquivo, quem tem privilégio de administrador de domínio e, principalmente, onde estão os backups. Em hotéis com Wi-Fi de hóspedes, POS e back-office na mesma rede plana, esse mapeamento pode levar só algumas horas. O invasor costuma passar dias ou semanas na rede antes de ser detectado (o relatório M-Trends 2026, da Mandiant, aponta mediana global de 14 dias), e em alguns casos, meses.

Exfiltração e destruição de backups

Antes de criptografar, o invasor copia o que tem valor de extorsão (base de reservas, cópias de documentos de hóspedes, dados de cartão, contratos, folha de pagamento) e depois apaga cópias de sombra, repositórios de backup acessíveis pela rede e, quando consegue, os próprios snapshots em nuvem. Parte desse trabalho costuma ser automatizada com ferramentas prontas. É por isso que backups que ficam em um compartilhamento de rede visível ao mesmo usuário não contam como backup.

Criptografia e extorsão dupla

A criptografia costuma ser disparada fora do horário comercial, com frequência em uma madrugada de fim de semana ou véspera de feriado, quando há menos gente para perceber e reagir. O pedido de resgate chega em duas frentes: pagar para receber a chave de descriptografia e pagar de novo para os dados roubados não serem publicados. Pagar não garante que os dados sejam apagados: há casos de grupos que publicam ou revendem os dados mesmo após o pagamento.

Por que hotéis são um alvo atraente

Três fatores tornam a hotelaria especialmente exposta, e nenhum deles é resolvido comprando um antivírus melhor.

Dependência operacional total. Reservas, check-in, fechaduras eletrônicas, POS do restaurante, faturamento e integração com OTAs passam pelo PMS. Quando ele para, o hotel não consegue receber hóspedes, cobrar, emitir cartões de quarto nem saber quem está em qual quarto da forma normal. Grupos de RaaS entenderam isso e passaram a atacar a operação em vez de apenas cifrar arquivos. O relatório de risco de cibersegurança hoteleira 2026 descreve um grupo com forte concentração na América Latina que expandiu o escopo para hospitalidade justamente por esse motivo.

Sazonalidade previsível. Há datas em que o hotel não pode parar: réveillon, carnaval, feriados prolongados, eventos na cidade. Um ataque nessas datas causa muito mais dano do que o mesmo ataque em uma terça-feira de baixa temporada, e aumenta a pressão para decidir rápido, inclusive sobre pagar. O plano de resposta precisa considerar esse cenário, não o de um dia tranquilo.

Muitos fornecedores com acesso remoto. PMS, POS, fechaduras, CFTV, Wi-Fi, automação de quartos, motor de reservas, channel manager: cada um com um fornecedor diferente, cada fornecedor com uma forma de acesso remoto, e muitas vezes ninguém no hotel consegue listar todos esses acessos. A gestão de fornecedores de TI é, na prática, gestão de superfície de ataque.

Os cinco controles que mais reduzem o risco

Existem dezenas de medidas possíveis. Na nossa avaliação, as cinco abaixo concentram a maior parte da redução de risco, e estão entre as que seguradoras de risco cibernético costumam perguntar antes de emitir ou renovar a apólice. Os cinco trabalham juntos: nenhum substitui os demais.

Um sexto controle merece menção: detecção e resposta em endpoints (EDR) em todos os servidores e estações. O ponto de atenção é que uma ferramenta de EDR é tão eficaz quanto a equipe que monitora os alertas dela. Instalar o EDR e não ter ninguém olhando às 3h da manhã de domingo dá uma falsa sensação de proteção. Se o hotel não tem quem monitore, o contrato precisa incluir esse serviço com o fornecedor.

O que fazer nas primeiras horas de um ataque

A ordem das ações nas primeiras horas define se o incidente vai durar dias ou meses. O que segue é o roteiro que um plano de resposta hoteleiro precisa cobrir, adaptado ao que acontece em uma propriedade.

Conter sem destruir evidências

• Isolar, de preferência sem desligar. Retirar o cabo de rede ou desativar o Wi-Fi das máquinas afetadas e mantê-las ligadas, quando possível, até o responsável pela resposta orientar o próximo passo. Desligar a máquina apaga a memória, que é onde ficam as evidências forenses mais valiosas e, em alguns casos, as chaves de criptografia ainda em uso. Se a criptografia estiver em andamento e não for possível isolar a máquina, desligá-la pode ser a medida menos ruim; essa decisão deve estar prevista no plano.
• Isolar o segmento afetado. Se a rede for segmentada, bloquear o tráfego entre a VLAN atingida e o restante. Se não for, essa é a hora em que se descobre por que a segmentação importava.
• Fechar a porta de entrada. Desativar o acesso remoto suspeito, invalidar sessões de VPN e redefinir credenciais, a começar pelas contas de administrador de domínio, com orientação do responsável pela resposta ao incidente para não alertar o invasor nem destruir evidências.
• Preservar os logs. Firewall, VPN, servidor de e-mail, PMS e EDR. Muitos sistemas sobrescrevem logs em poucos dias; exportá-los para um local isolado antes que isso aconteça.

Ativar a cadeia de decisão

• Acionar a seguradora logo no início. Muitas apólices de risco cibernético exigem notificação em prazo curto e podem não cobrir pagamentos ou custos de resposta que não foram pré-aprovados. O prazo que vale é o da apólice do hotel, e ele deve estar no plano de resposta. Muitas apólices também definem quais empresas de resposta a incidentes podem ser contratadas.
• Envolver o jurídico e o DPO. Quando o hotel confirma um incidente que envolve dados pessoais e pode causar risco ou dano relevante aos titulares, a Resolução CD/ANPD nº 15/2024 dá 3 dias úteis para comunicar à ANPD e aos titulares. Esse prazo não espera o fim da investigação: a comunicação pode ser complementada depois. Como ransomware costuma envolver dados de hóspedes, essa avaliação precisa começar nas primeiras horas, com o jurídico do hotel.
• Definir quem fala com quem. Hóspedes com reserva para os próximos dias, OTAs, adquirente de cartão, fornecedores de PMS e fechaduras, colaboradores. Uma única pessoa autorizada a comunicar externamente evita informações contraditórias.

Manter o hotel funcionando

Enquanto a TI e o fornecedor de resposta trabalham, o hotel precisa operar. Isso significa ter, com antecedência, um procedimento de contingência: lista impressa de chegadas do dia (exportada diariamente do PMS para um local seguro), cartões-chave de emergência ou chaves mecânicas para as fechaduras, uma máquina de cartão autônoma que não dependa da rede do hotel e um formulário de check-in em papel. Hotéis que preparam isso tendem a perder algumas horas de eficiência; hotéis que não preparam arriscam perder hóspedes.

Pagar ou não pagar o resgate

A recomendação de Europol, NCSC e FBI é não pagar, e a experiência sustenta a posição: a chave de decriptação pode falhar ou recuperar só parte dos dados, o pagamento não remove o invasor da rede (o acesso continua lá até ser erradicado) e não impede a publicação dos dados roubados. Pagar também sinaliza ao grupo que o hotel é um pagador, o que aumenta a chance de um segundo ataque.

Há ainda uma dimensão legal que hotéis brasileiros costumam ignorar. Não há, hoje, uma lei brasileira que proíba especificamente o pagamento, mas pagar pode violar sanções internacionais se o destinatário for uma pessoa ou entidade sancionada, por exemplo, pelo OFAC, o órgão de sanções do Tesouro americano, ou pela União Europeia. Integrantes e estruturas de grupos conhecidos, como o LockBit, já foram alvo dessas sanções. O risco é maior para hotéis que fazem parte de redes internacionais ou que dependem de seguradoras, resseguradoras ou bancos com operação nesses mercados, que podem se recusar a participar do pagamento. A decisão precisa passar pelo jurídico e pela seguradora, com verificação de sanções, e nunca deve ser tomada pela equipe de TI sob pressão nas primeiras horas.

Quando a decisão de pagar acaba sendo tomada, normalmente porque não há backup viável e a operação está parada, ela deve envolver um negociador especializado, aprovação prévia da seguradora e um plano de reconstrução que trate a chave de descriptografia como um atalho, não como a solução. O invasor continua na rede até que a rede seja reconstruída.

Recuperação: o erro de restaurar rápido demais

Um erro frequente na recuperação é restaurar o backup sobre a mesma infraestrutura em que o invasor ainda está. Grupos de ransomware deixam mecanismos de persistência (tarefas agendadas, contas de administrador criadas durante o ataque, ferramentas de acesso remoto instaladas, alterações de política de grupo que desativam o EDR) exatamente para voltar depois da restauração. Se esses mecanismos não forem removidos, o invasor pode voltar semanas depois, quando a atenção já baixou.

A sequência que funciona é: confirmar que o invasor foi removido (investigação forense, mesmo que breve), validar os backups em hardware isolado antes de confiar neles, reconstruir servidores comprometidos do zero em vez de "limpá-los", redefinir todas as credenciais privilegiadas, e só então restaurar por camadas de prioridade: PMS, fechaduras e POS primeiro, depois motor de reservas e integrações com OTAs, depois o restante. O tempo de recuperação depende do escopo do ataque, da qualidade dos backups e da disponibilidade dos fornecedores. Por isso, o hotel deve definir antes do incidente uma meta de retorno (RTO) para cada sistema crítico, por exemplo 72 horas para o PMS, e testar se ela é alcançável.

A reconstrução é também o melhor momento para endurecer o ambiente: MFA onde faltava, segmentação que nunca foi feita, EDR em tudo, logs centralizados. Fazer isso durante a reconstrução custa uma fração do que custaria depois, e a diretoria, naquele momento, tende a aprovar.

Obrigações regulatórias durante o incidente

Um ataque de ransomware em hotel pode disparar três frentes de notificação, e elas correm em paralelo com a recuperação técnica, não depois dela.

A comunicação a hóspedes merece cuidado especial. Quem tem reserva para os próximos dias precisa saber que o check-in vai funcionar, mesmo que em papel; quem se hospedou nos últimos meses pode precisar ser avisado de que documentos ou dados de cartão foram expostos. O tom e o momento dessas mensagens são parte do plano de resposta, não improviso.

O papel de uma consultoria de TI hoteleira

Proteger um hotel contra ransomware envolve decisões (quais controles priorizar, qual fornecedor de backup, qual ferramenta de EDR, o que exigir em contrato de cada fornecedor com acesso remoto) e execução (operar o backup, monitorar alertas, aplicar patches, reconstruir servidores). São competências diferentes, e misturá-las é uma das razões pelas quais hotéis compram ferramentas que ninguém opera.

A HotelTI atua no primeiro grupo. Avaliamos a exposição do hotel a ransomware, definimos as prioridades de investimento, ajudamos a selecionar as ferramentas e os parceiros adequados ao porte da propriedade, escrevemos e ensaiamos o plano de resposta com a equipe e, quando um incidente acontece, coordenamos os fornecedores e a comunicação com seguradora, jurídico e ANPD, o papel que exercemos como CISO Virtual do hotel. A operação técnica fica com o provedor de TI ou o fornecedor especializado contratado para isso, com contrato e nível de serviço que nós ajudamos a definir. Quem quer entender essa divisão em detalhe pode ler consultor de TI ou MSP: qual o hotel precisa.

Para uma primeira leitura da exposição do seu hotel, a avaliação gratuita de cibersegurança hoteleira cobre identidade e acesso, rede, pagamentos e conformidade em 12 perguntas, sem cadastro. Recursos externos: as orientações da ANPD sobre comunicação de incidentes estão em gov.br/anpd, e o CERT.br mantém materiais de tratamento de incidentes para organizações brasileiras. O projeto No More Ransom, mantido por Europol e parceiros, disponibiliza ferramentas gratuitas de descriptografia para algumas famílias de ransomware.

Fontes

• MGM Resorts International, Form 8-K (outubro de 2023), sec.gov
• Mandiant (Google Cloud), M-Trends 2026: Data, Insights, and Strategies From the Frontlines (2026), cloud.google.com