Relatório de risco de cibersegurança hoteleira 2026
A hotelaria segue entre os setores comerciais mais visados do mundo. Levantamentos do setor de 2025 apontam que 84% das propriedades sofreram ao menos um incidente cibernético no ano, e 82% registraram uma intrusão bem-sucedida. Este relatório reúne os números, os grupos de ameaça ativos na América Latina e as lacunas de defesa que mais aparecem quando violações no setor são analisadas.
- 84% das propriedades hoteleiras sofreram ao menos um incidente cibernético no último ano
- O custo médio de violação em hotelaria já ultrapassa US$ 4 milhões por incidente
- 82% das intrusões detectadas usam credenciais roubadas, não malware
- 55% das propriedades sofreram uma interrupção causada por um fornecedor ou parceiro externo
- 48% dos líderes de TI de hotéis duvidam que a equipe da linha de frente identifique phishing gerado por IA
- Grupos como RevengeHotels (TA558) têm atuação documentada e direcionada a hotéis do Brasil e da América Latina
Os números por trás do cenário de ameaças de 2026
Entre as propriedades hoteleiras cobertas por levantamentos de segurança do setor em 2025:
- 84% sofreram pelo menos um incidente cibernético durante o ano
- 82% registraram uma intrusão bem-sucedida, a maioria visada mais de uma vez por temporada
- 90% dos líderes de TI e segurança de hotéis relataram pelo menos uma tentativa de ataque
- 58% das propriedades enfrentaram cinco ou mais ataques em uma única alta temporada
- 44% das propriedades violadas tiveram 12 horas ou mais de inatividade crítica de sistema
O quadro financeiro acompanha a frequência. Para propriedades atingidas por ransomware voltado à operação e não apenas aos dados, o custo aumenta ainda mais quando check-in, motor de reservas e entrada sem chave ficam fora do ar ao mesmo tempo durante um período de alta ocupação.
Como os ataques mudaram
Credenciais em vez de malware
82% das detecções de segurança no setor hoteleiro hoje não envolvem malware. Invasores obtêm credenciais de funcionários vazadas, reutilizadas ou capturadas por phishing e fazem login diretamente em PMS, integrações de reserva e redes de back-office, alcançando sistemas de alto valor sem acionar ferramentas de antivírus voltadas para ameaças baseadas em arquivo.
Phishing gerado por IA em escala
Quase metade dos líderes de TI e segurança de hotéis diz duvidar que sua equipe da linha de frente consiga identificar phishing avançado gerado por IA. A recepção, que processa centenas de comunicações de hóspedes por turno, não consegue selecionar manualmente cada mensagem em busca de sinais de geração por IA.
Interrupção operacional como objetivo
Grupos de ransomware-as-a-service deixaram de mirar apenas a criptografia de dados e passaram a sabotar a operação: interromper reservas, desativar check-in e travar sistemas de entrada sem chave até que o pagamento resolva a interrupção. Muitos grupos também publicam dados roubados em sites de vazamento independentemente de o resgate ser pago, o que elimina o pagamento como forma de conter as consequências.
A infraestrutura que amplia a superfície de ataque
Hotéis conectam PMS, terminais POS, integrações de reserva, Wi-Fi de hóspedes, dispositivos de quartos inteligentes e sistemas de fornecedores em uma única rede operacional. Cada categoria abaixo é um ponto de entrada ou caminho de movimento lateral já confirmado em incidentes reais.
| Sistema | Impacto |
|---|---|
| Terminais POS | Restaurantes, bares e spas atraem coleta persistente de dados de cartão; invasores costumam permanecer meses antes de exfiltrar dados em massa, motivo pelo qual o PCI DSS exige varreduras trimestrais e testes de penetração anuais. |
| IoT de quartos inteligentes | TVs, minibares digitais e iluminação automatizada rodam firmware com patches infrequentes e credenciais padrão que raramente são alteradas. |
| Fornecedores terceirizados | 55% das propriedades sofreram uma interrupção causada por um fornecedor ou parceiro externo no último ano; o acesso de fornecedores a PMS e sistemas de fidelidade cria pontos de entrada fora do controle direto do hotel. |
| Wi-Fi de hóspedes | Redes mal segmentadas dão a qualquer pessoa conectada um caminho potencial para sistemas de gestão corporativos, incluindo o PMS. |
Violações confirmadas, 2025 e 2026
Invasores acessaram dados de reservas de hóspedes por meio de contas de hotéis parceiros comprometidas, conectadas ao sistema central de uma grande plataforma de viagens. Nomes, e-mails, telefones e itinerários detalhados foram expostos e convertidos em horas em campanhas de phishing e SMS que se passavam por confirmações de reserva.
A empresa controladora recebeu multa regulatória de € 475 mil por notificar a violação 22 dias após a confirmação da exposição, ilustrando o custo de atrasar a comunicação além do prazo esperado.
Um grupo hoteleiro com múltiplas marcas revelou acesso não autorizado a um aplicativo web principal por seis meses antes da descoberta. Números de reserva, nomes, contatos, endereços e solicitações específicas de hóspedes foram expostos; dados de cartão não estavam no escopo.
A permanência prolongada deu aos invasores profundidade suficiente sobre perfis de hóspedes frequentes para fraudes direcionadas muito depois do acesso ter terminado.
Uma rede de apart-hotéis com operação em vários países sofreu violação originada em vulnerabilidade no sistema de um fornecedor terceirizado, expondo nomes, contatos e datas de nascimento de clientes em todo o histórico da rede.
Uma gestora de portfólio de resorts de luxo sofreu violação de rede afetando ativos internos, documentação de funcionários e dados de hóspedes, com notificações e monitoramento de identidade oferecidos aos afetados no início de 2026.
Campanhas de phishing com apoio de IA direcionaram funcionários de recepção com falsos pedidos de cancelamento de reserva. Ao abrir o anexo, uma tela de erro fabricada orientava a equipe a rodar uma "ferramenta de reparo" que instalava código de roubo de credenciais direto na infraestrutura de POS e PMS. O treinamento padrão de phishing não cobre telas de erro falsas nem reservas forjadas.
Grupos de ameaça que visam o setor hoteleiro no Brasil
Alguns grupos operam com foco específico em hotelaria. No Brasil e na América Latina, três têm impacto documentado em operações de hospedagem.
RevengeHotels (TA558)
O grupo RevengeHotels, também rastreado como TA558, concentra suas operações em hotéis do Brasil, Argentina, Chile, México e Costa Rica. A abordagem central é engenharia social: e-mails com falsas solicitações de reserva ou orçamento voltados à recepção e à central de reservas, com o objetivo de comprometer o PMS. Em vez de exigir resgate, o grupo rouba dados de cartão de filas de reserva e vende acesso a terminais comprometidos em fóruns da dark web, usando inclusive ferramentas de IA para gerar iscas de phishing mais convincentes.
Poco RAT e Dark Caracal
Operações baseadas em trojans de roubo de credenciais, com atuação documentada em setores hoteleiros e de mineração na América Latina, com objetivo de comprometer contas de funcionários para acesso prolongado e silencioso.
3AM
Grupo de ransomware convencional com forte concentração em entidades latino-americanas, que expandiu o escopo para hospitalidade e entretenimento, combinando criptografia de arquivos com publicação de dados em sites de vazamento.
Onde fica a lacuna de defesa
Cerca de 70% dos operadores hoteleiros utilizam firewall e antivírus padrão. Menos da metade executa varredura ativa de vulnerabilidades, monitoramento da dark web ou testes de penetração.
A maioria dos hotéis tem controles de perímetro que bloqueiam ameaças que os invasores já superaram há anos. Intrusões baseadas em credenciais, comprometimento de fornecedores e phishing gerado por IA operam no espaço entre as ferramentas básicas de perímetro e o monitoramento mais ativo que os detectaria.
Três controles aparecem com mais frequência como ausentes quando violações do setor são analisadas depois:
- Varredura ativa de vulnerabilidades em integrações de PMS, POS e reservas, na frequência que acompanha a taxa de mudança desses sistemas
- Monitoramento da dark web para identificar credenciais de funcionários comprometidas antes que sejam usadas para login
- Treinamento de engenharia social calibrado para conteúdo gerado por IA, e não para phishing genérico
Por que a lacuna persiste
Pessoal e orçamento
A hotelaria compete por profissionais de segurança com serviços financeiros, tecnologia e saúde, setores com orçamentos salariais mais altos. Onde não há função de segurança dedicada, a responsabilidade recai sobre generalistas de TI ou gerentes de recepção. O investimento tende a seguir os incidentes em vez de antecipá-los: propriedades sem violação recente direcionam capital para tecnologia voltada ao hóspede antes do reforço de infraestrutura.
Sistemas legados e fidelidade
Software de PMS, plataformas POS ou infraestrutura de rede sem correção ativa representam superfície de ataque permanente, e substituí-los exige capital e tempo de inatividade que a maioria das propriedades adia. Contas de fidelidade, com valor monetário real em pontos convertíveis, sofrem ataques de preenchimento de credenciais contínuos usando listas vazadas de outros setores, um risco frequentemente tratado como preocupação de marketing e não de segurança.
Lacunas contratuais com fornecedores
A maioria dos contratos com fornecedores de hotéis não inclui obrigações claras de segurança, direitos de auditoria ou prazos de notificação de violação, mesmo com acesso de fornecedores ao PMS e a sistemas de fidelidade sendo ponto de entrada confirmado em vários incidentes recentes.
O que 2026 acrescenta ao perfil de ameaça
Engenharia social com deepfake passou do conceito ao uso operacional: invasores geram voz ou vídeo convincentes se passando por executivos ou suporte de TI para induzir a equipe a instalar malware ou entregar credenciais. Grupos de RaaS agora publicam dados roubados em sites de vazamento independentemente do pagamento do resgate, o que significa que a notificação à ANPD e aos hóspedes afetados é necessária mesmo quando os dados criptografados são recuperados.
Por onde começar
Mapeie primeiro quais dos controles acima estão ausentes e quais superfícies de ataque da tabela de infraestrutura não são monitoradas. Nosso guia sobre riscos de cibersegurança em hotéis detalha essas superfícies de ataque e a linha de base de controles com mais profundidade.
Como a HotelTI pode ajudar
Trabalhamos com hotéis e grupos hoteleiros no Brasil nos riscos específicos abordados neste relatório. Nossa avaliação mapeia a superfície de ataque em toda a operação, incluindo PMS, POS, Wi-Fi de hóspedes, conexões com fornecedores e exposição de pessoal, e devolve uma lista de ações priorizadas em vez de um relatório genérico, cobrindo rede e infraestrutura, acesso e identidade, risco de fornecedores, tecnologia hoteleira e conformidade com a LGPD e o PCI DSS.
Se você quer entender onde estão seus controles em relação ao nível de ameaça descrito neste relatório, fale com a nossa equipe de cibersegurança hoteleira. Para hotéis que já sofreram um incidente ou estão se preparando para uma auditoria de conformidade, entre em contato diretamente.
Perguntas frequentes
Quais partes de um hotel são mais visadas por invasores?
Os terminais de ponto de venda em restaurantes, bares e spas atraem o direcionamento mais persistente para dados de cartão de pagamento. Os sistemas de gestão de propriedades (PMS) são alvos de alto valor porque armazenam dados de hóspedes, tokens de pagamento e integrações de reservas. Redes de Wi-Fi para hóspedes mal segmentadas dão aos invasores uma rota da rede pública para os sistemas internos, e as conexões com fornecedores terceirizados representam a categoria mais ampla de exposição fora do controle direto do hotel.
O que ransomware-as-a-service significa na prática para hotéis?
Grupos de RaaS vendem ferramentas e infraestrutura de ransomware para afiliados que executam os ataques. Na hotelaria, o alvo costuma ser a operação e não apenas os dados: reservas ficam offline, terminais de check-in falham e a entrada sem chave para de funcionar. A interrupção durante a alta temporada é o ponto de alavancagem. Muitos grupos também publicam dados roubados em sites de vazamento independentemente do pagamento do resgate.
Um hotel precisa de teste de penetração?
Qualquer hotel que processe dados de cartão de pagamento precisa de testes de penetração sob o PCI DSS. Além da conformidade, o teste de penetração identifica exposição de credenciais e caminhos de movimento lateral que ferramentas de perímetro padrão não detectam. Propriedades com PMS, POS e integrações de reserva em múltiplos sistemas de fornecedores se beneficiam especialmente de testar os limites entre esses sistemas.
O que a LGPD exige quando um hotel sofre uma violação de dados de hóspedes?
Pela LGPD, hotéis devem comunicar a ANPD dentro de um prazo próximo de 72 horas após tomarem conhecimento de um incidente de segurança de alto risco. Se a violação puder causar risco ou dano relevante aos titulares, o hotel também deve comunicar os hóspedes afetados. O prazo começa quando o hotel tem motivos razoáveis para acreditar que ocorreu um incidente, não quando a investigação é concluída.
Como os dispositivos IoT de quartos inteligentes criam risco de rede?
TVs inteligentes, minibares digitais e iluminação automatizada normalmente rodam firmware com ciclos de atualização pouco frequentes e se conectam à mesma rede do hotel. Sem segmentação deliberada, um invasor que compromete um desses dispositivos ganha um ponto de apoio que pode fornecer acesso lateral ao PMS ou a sistemas administrativos.
Descubra onde estão os maiores riscos do seu hotel
Nossa avaliação cobre POS, PMS, Wi-Fi de hóspedes, acesso de fornecedores e exposição de equipe, com uma lista de ações priorizadas ao final.