Relatório de risco de cibersegurança hoteleira 2026
A hotelaria segue entre os setores comerciais mais visados do mundo. Uma pesquisa publicada em 2025 apontou que 82% dos hotéis norte-americanos sofreram um ataque cibernético na alta temporada de 2024, e o custo médio de uma violação em hotelaria já ultrapassa US$ 4 milhões. Este relatório reúne os números, os grupos de ameaça ativos na América Latina e as lacunas de defesa que esses ataques exploram.
- 82% dos hotéis norte-americanos sofreram um ataque cibernético em uma única temporada de alta (VikingCloud, 2025)
- O custo médio de violação em hotelaria já ultrapassa US$ 4 milhões por incidente (IBM, 2025)
- 82% das detecções de segurança em 2025 não envolveram malware: invasores priorizam credenciais roubadas, um dado geral, não específico de hotelaria (CrowdStrike, 2026)
- Hotelaria e varejo tiveram a maior taxa de violação via fornecedores terceirizados entre os setores analisados, 52,4% (SecurityScorecard, 2025)
- 48% dos líderes de TI de hotéis duvidam que a equipe da linha de frente identifique phishing gerado por IA (VikingCloud, 2025)
- Grupos como RevengeHotels (TA558) têm atuação documentada e direcionada a hotéis do Brasil e da América Latina
Este relatório reúne dados públicos divulgados entre 2021 e 2026 por pesquisadores, fornecedores de segurança, imprensa especializada e autoridades, listados na seção Fontes. Não é uma pesquisa própria. O texto separa três tipos de evidência: pesquisas e incidentes específicos de hotelaria; dados gerais de ameaças, sinalizados como tais, que também se aplicam a hotéis; e inteligência de ameaças sobre grupos que atuam contra o setor, que descreve campanhas, não violações confirmadas. A leitura dessas evidências para hotéis brasileiros é análise da HotelTI.
Os números por trás do cenário de ameaças de 2026
Segundo a pesquisa da VikingCloud (2025) com hotéis norte-americanos, referente à alta temporada de verão de 2024:
- 82% sofreram um ataque cibernético bem-sucedido durante a temporada
- 90% dos líderes de TI e segurança de hotéis relataram pelo menos uma tentativa de ataque
- 58% das propriedades enfrentaram cinco ou mais ataques em uma única alta temporada
- 44% das propriedades violadas tiveram 12 horas ou mais de inatividade crítica de sistema
O quadro financeiro acompanha a frequência. Para propriedades atingidas por ransomware voltado à operação e não apenas aos dados, o custo aumenta ainda mais quando check-in, motor de reservas e entrada sem chave ficam fora do ar ao mesmo tempo durante um período de alta ocupação.
Como os ataques mudaram
Credenciais em vez de malware
No conjunto de organizações analisadas pelo CrowdStrike 2026 Global Threat Report, 82% das detecções de segurança em 2025 não envolveram malware. O dado não é específico da hotelaria, mas a implicação para hotéis é clara, porque a operação depende de sistemas acessados com usuário e senha, como PMS e POS. Invasores obtêm credenciais de funcionários vazadas, reutilizadas ou capturadas por phishing e fazem login diretamente em PMS, integrações de reserva e redes de back-office, alcançando sistemas de alto valor sem acionar ferramentas de antivírus voltadas para ameaças baseadas em arquivo.
Phishing gerado por IA em escala
Segundo a mesma pesquisa da VikingCloud, quase metade dos líderes de TI e segurança de hotéis diz duvidar que sua equipe da linha de frente consiga identificar phishing avançado gerado por IA. A recepção, que processa centenas de comunicações de hóspedes por turno, não consegue selecionar manualmente cada mensagem em busca de sinais de geração por IA.
Interrupção operacional como objetivo
Grupos de ransomware-as-a-service deixaram de mirar apenas a criptografia de dados e passaram a sabotar a operação: interromper reservas, desativar check-in e travar sistemas de entrada sem chave até que o pagamento resolva a interrupção. Muitos grupos também publicam dados roubados em sites de vazamento independentemente de o resgate ser pago, o que elimina o pagamento como forma de conter as consequências.
A infraestrutura que amplia a superfície de ataque
Hotéis conectam PMS, terminais POS, integrações de reserva, Wi-Fi de hóspedes, dispositivos de quartos inteligentes e sistemas de fornecedores em uma única rede operacional. Cada categoria abaixo é um ponto de entrada ou caminho de movimento lateral comum em incidentes no setor.
| Sistema | Impacto |
|---|---|
| Terminais POS | Restaurantes, bares e spas atraem coleta persistente de dados de cartão; invasores costumam permanecer meses antes de exfiltrar dados em massa, e, conforme o escopo e o tipo de validação, o PCI DSS exige varreduras trimestrais e testes de penetração periódicos. |
| IoT de quartos inteligentes | TVs, minibares digitais e iluminação automatizada rodam firmware com patches infrequentes e credenciais padrão que raramente são alteradas. |
| Fornecedores terceirizados | Hotelaria e varejo tiveram a maior taxa de violação via terceiros entre os setores analisados em 2025, 52,4%, segundo a SecurityScorecard; o acesso de fornecedores a PMS e sistemas de fidelidade cria pontos de entrada fora do controle direto do hotel. |
| Wi-Fi de hóspedes | Redes mal segmentadas dão a qualquer pessoa conectada um caminho potencial para sistemas de gestão corporativos, incluindo o PMS. |
Violações confirmadas, 2025 e 2026
Invasores acessaram dados de reservas de hóspedes, como nomes, e-mails, telefones, endereços e detalhes da estadia, por meio de contas de hotéis parceiros comprometidas. Dados financeiros não foram afetados, mas as informações logo apareceram em golpes por WhatsApp e SMS que se passavam pelo hotel, com nome do hotel, datas e número da reserva corretos (TechCrunch).
Não é a primeira vez que atrasos pesam para a plataforma: em 2021, a autoridade holandesa de proteção de dados multou o Booking.com em € 475 mil por comunicar um incidente de 2019 com 22 dias de atraso (Autoriteit Persoonsgegevens).
O grupo dono das marcas Best Western, WorldHotels e Sure Hotels identificou em 22 de abril de 2026 um acesso não autorizado a uma aplicação web do sistema de reservas, iniciado em 14 de outubro de 2025. Números de reserva, nomes, contatos, endereços, datas de estadia e solicitações específicas de hóspedes foram expostos; dados de cartão não estavam nesse sistema (SecurityWeek).
A permanência prolongada deu aos invasores tempo para conhecer perfis de hóspedes frequentes, o que alimenta fraudes direcionadas muito depois do fim do acesso.
A rede australiana de apart-hotéis identificou acesso não autorizado a um banco de dados a partir de uma vulnerabilidade em um prestador de serviço terceirizado, expondo nomes e contatos de hóspedes em registros anteriores a junho de 2025 e, em parte deles, datas de nascimento (ABC News).
A operadora de resorts de luxo da Califórnia detectou atividade não autorizada na rede em janeiro de 2026 e começou a notificar as pessoas afetadas no fim de abril, um intervalo que mostra quanto tempo a investigação de um incidente pode levar (aviso de violação).
Uma campanha contra hotéis europeus enviou à recepção e-mails que imitavam cancelamentos do Booking.com com cobranças altas. O link levava a uma página falsa com CAPTCHA e uma "tela azul" do Windows que orientava o funcionário a colar e executar um comando, instalando um trojan de acesso remoto (DCRat) no computador (The Hacker News). O treinamento padrão de phishing raramente cobre telas de erro falsas.
Grupos de ameaça que visam a hotelaria na América Latina
Alguns grupos operam com foco específico em hotelaria. Na América Latina, dois têm atuação documentada contra hotelaria, e um deles, o RevengeHotels, mira diretamente hotéis brasileiros.
RevengeHotels (TA558)
O grupo RevengeHotels, também rastreado como TA558, concentra suas operações em hotéis do Brasil, Argentina, Chile, México e Costa Rica. A abordagem central é engenharia social: e-mails com falsas solicitações de reserva ou orçamento voltados à recepção e à central de reservas, com o objetivo de comprometer o PMS. Em vez de exigir resgate, o grupo rouba dados de cartão de filas de reserva e vende acesso a terminais comprometidos em fóruns da dark web, usando inclusive ferramentas de IA para gerar iscas de phishing mais convincentes (Kaspersky Securelist).
Poco RAT e Dark Caracal
O grupo Dark Caracal usa o trojan de acesso remoto Poco RAT em campanhas de phishing em espanhol, com iscas financeiras como faturas, contra empresas dos setores de mineração, manufatura, hotelaria e serviços públicos, principalmente na Venezuela, no Chile, na República Dominicana, na Colômbia e no Equador. O objetivo é acesso prolongado e silencioso aos computadores comprometidos (The Hacker News). O foco documentado está em países de língua espanhola, não no Brasil.
Onde fica a lacuna de defesa
Uma lacuna que merece atenção é a dependência de firewall e antivírus padrão como defesa principal, com varredura ativa de vulnerabilidades, monitoramento da dark web e testes de penetração tratados como exceção, não como rotina.
Muitos hotéis dependem de controles de perímetro voltados a ameaças que os invasores já contornam há anos. Intrusões baseadas em credenciais, comprometimento de fornecedores e phishing gerado por IA operam no espaço entre as ferramentas básicas de perímetro e o monitoramento mais ativo que os detectaria.
Três controles costumam faltar e ajudariam a detectar esses ataques mais cedo:
- Varredura ativa de vulnerabilidades em integrações de PMS, POS e reservas, na frequência que acompanha a taxa de mudança desses sistemas
- Monitoramento da dark web para identificar credenciais de funcionários comprometidas antes que sejam usadas para login
- Treinamento de engenharia social calibrado para conteúdo gerado por IA, e não para phishing genérico
Por que a lacuna persiste
Três fatores explicam por que a lacuna de controle descrita acima não se fecha sozinha: encontrar pessoal qualificado de segurança é um desafio persistente para grande parte dos hotéis, o orçamento de TI costuma competir com investimentos mais visíveis ao hóspede, e boa parte dos hotéis ainda roda sistemas legados que os fornecedores não atualizam mais.
Pessoal e orçamento
A hotelaria compete por profissionais de segurança com serviços financeiros, tecnologia e saúde, setores com orçamentos salariais mais altos. Onde não há função de segurança dedicada, a responsabilidade recai sobre generalistas de TI ou gerentes de recepção. O investimento tende a seguir os incidentes em vez de antecipá-los: propriedades sem violação recente direcionam capital para tecnologia voltada ao hóspede antes do reforço de infraestrutura.
Sistemas legados e fidelidade
Software de PMS, plataformas POS ou infraestrutura de rede sem correção ativa representam superfície de ataque permanente, e substituí-los exige capital e tempo de inatividade que muitas propriedades adiam. Contas de fidelidade, com valor monetário real em pontos convertíveis, sofrem ataques de preenchimento de credenciais contínuos usando listas vazadas de outros setores, um risco frequentemente tratado como preocupação de marketing e não de segurança.
Lacunas contratuais com fornecedores
Muitos contratos com fornecedores de hotéis não incluem obrigações claras de segurança, direitos de auditoria ou prazos de notificação de violação, mesmo com acesso de fornecedores ao PMS e a sistemas de fidelidade sendo ponto de entrada confirmado em vários incidentes recentes.
O que 2026 acrescenta ao perfil de ameaça
Engenharia social com deepfake passou do conceito ao uso operacional: invasores geram voz ou vídeo convincentes se passando por executivos ou suporte de TI para induzir a equipe a instalar malware ou entregar credenciais. Grupos de RaaS agora publicam dados roubados em sites de vazamento independentemente do pagamento do resgate, o que significa que a comunicação à ANPD e aos hóspedes afetados pode ser necessária mesmo quando os dados criptografados são recuperados, porque a cópia roubada continua circulando.
Por onde começar
Mapeie primeiro quais dos controles acima estão ausentes e quais superfícies de ataque da tabela de infraestrutura não são monitoradas. Nosso guia sobre riscos de cibersegurança em hotéis detalha essas superfícies de ataque e a linha de base de controles com mais profundidade.
Como a HotelTI pode ajudar
Trabalhamos com hotéis e grupos hoteleiros no Brasil nos riscos específicos abordados neste relatório. Nossa avaliação mapeia a superfície de ataque em toda a operação, incluindo PMS, POS, Wi-Fi de hóspedes, conexões com fornecedores e exposição de pessoal, e devolve uma lista de ações priorizadas em vez de um relatório genérico, cobrindo rede e infraestrutura, acesso e identidade, risco de fornecedores, tecnologia hoteleira e conformidade com a LGPD e o PCI DSS.
Se você quer entender onde estão seus controles em relação ao nível de ameaça descrito neste relatório, fale com a nossa equipe de cibersegurança hoteleira. Para hotéis que já sofreram um incidente ou estão se preparando para uma auditoria de conformidade, entre em contato diretamente.
Fontes
- VikingCloud, Peak Season, Peak Risk: The 2025 State of Hospitality Cyber Report (2025), vikingcloud.com
- IBM, Cost of a Data Breach Report (2025), ibm.com
- CrowdStrike, 2026 Global Threat Report, crowdstrike.com
- SecurityScorecard, 2025 Global Third-Party Breach Report, securityscorecard.com
- TechCrunch, Booking.com confirms hackers accessed customers' data (abril de 2026), techcrunch.com
- Autoriteit Persoonsgegevens, Booking.com fined for delay in reporting data breach (2021), autoriteitpersoonsgegevens.nl
- SecurityWeek, BWH Hotels says hackers had access to reservation data for 6 months (2026), securityweek.com
- ABC News, Quest Apartment Hotels data security breach (agosto de 2026), abc.net.au
- Emery Reddy, JC Resorts LLC data breach (2026), emeryreddy.com
- The Hacker News, Fake booking emails redirect hotel staff (janeiro de 2026), thehackernews.com
- Kaspersky Securelist, RevengeHotels attacks with AI and VenomRAT across Latin America, securelist.com
- The Hacker News, Dark Caracal uses Poco RAT to target Spanish-speaking enterprises in Latin America (março de 2025), thehackernews.com
Cibersegurança hoteleira
Avaliação de risco cobrindo PMS, POS, Wi-Fi de hóspedes, fornecedores e conformidade com a LGPD.
Ver serviço- Avaliação de risco de TI
- Supervisão do monitoramento externo
- Controle de fornecedores
- Conformidade com a LGPD
Artigos relacionados
Quais partes de um hotel são mais visadas por invasores?
Os terminais de ponto de venda em restaurantes, bares e spas atraem o direcionamento mais persistente para dados de cartão de pagamento. Os sistemas de gestão de propriedades (PMS) são alvos de alto valor porque armazenam dados de hóspedes, tokens de pagamento e integrações de reservas. Redes de Wi-Fi para hóspedes mal segmentadas dão aos invasores uma rota da rede pública para os sistemas internos, e as conexões com fornecedores terceirizados representam a categoria mais ampla de exposição fora do controle direto do hotel.
O que ransomware-as-a-service significa na prática para hotéis?
Grupos de RaaS vendem ferramentas e infraestrutura de ransomware para afiliados que executam os ataques. Na hotelaria, o alvo costuma ser a operação e não apenas os dados: reservas ficam offline, terminais de check-in falham e a entrada sem chave para de funcionar. A interrupção durante a alta temporada é o ponto de alavancagem. Muitos grupos também publicam dados roubados em sites de vazamento independentemente do pagamento do resgate.
Um hotel precisa de teste de penetração?
Em muitos casos, sim. Hotéis dentro do escopo do PCI DSS podem estar sujeitos aos requisitos de teste de penetração aplicáveis ao seu ambiente; o escopo e o método de validação dependem de como os pagamentos são processados e de quais sistemas podem impactar a segurança do ambiente de dados do titular do cartão. Além da conformidade, o teste de penetração identifica exposição de credenciais e caminhos de movimento lateral que ferramentas de perímetro padrão não detectam, especialmente relevante em propriedades com PMS, POS e integrações de reserva em múltiplos sistemas de fornecedores.
O que a LGPD exige quando um hotel sofre uma violação de dados de hóspedes?
Pela Resolução CD/ANPD nº 15/2024, hotéis devem comunicar à ANPD e aos titulares afetados dentro de 3 dias úteis após tomarem conhecimento de que um incidente de segurança afetou dados pessoais em condições de risco ou dano relevante. O prazo conta a partir do momento em que o hotel sabe que o incidente afetou dados pessoais, não da conclusão da investigação, e informações complementares podem ser enviadas depois; agentes de pequeno porte contam com o prazo em dobro.
Como os dispositivos IoT de quartos inteligentes criam risco de rede?
TVs inteligentes, minibares digitais e iluminação automatizada normalmente rodam firmware com ciclos de atualização pouco frequentes e se conectam à mesma rede do hotel. Sem segmentação deliberada, um invasor que compromete um desses dispositivos ganha um ponto de apoio que pode fornecer acesso lateral ao PMS ou a sistemas administrativos.
Descubra onde estão os maiores riscos do seu hotel
Nossa avaliação gratuita cobre POS, PMS, Wi-Fi de hóspedes, acesso de fornecedores e exposição de equipe, com uma lista de ações priorizadas ao final.