Riscos de cibersegurança em hotéis que a maioria ainda não enfrenta
Hotéis concentram dados de pagamento, documentos de identidade e histórico de viagens em um único lugar, dentro de um ambiente de TI que conecta PMS, POS, Wi-Fi de hóspedes e dezenas de fornecedores externos. Este guia detalha as quatro superfícies de ataque mais exploradas do setor, as obrigações da LGPD que costumam ficar de fora do radar e como montar uma linha de base de segurança defensável.
Hotéis lidam com um volume de dados pessoais sensíveis que poucos outros setores de varejo alcançam: número de cartão de pagamento, cópia de passaporte ou RG, endereço residencial, histórico de estadias e, em muitos casos, dados de programas de fidelidade que valem dinheiro real. Esse volume de dados atrai atenção. E o ambiente de TI que sustenta uma operação hoteleira, PMS, POS, Wi-Fi de hóspedes, fechaduras eletrônicas e integrações com OTAs, normalmente cresce por adição ao longo dos anos, sem que a segurança acompanhe no mesmo ritmo.
- A maior violação já registrada no setor hoteleiro expôs cerca de 383 milhões de registros de hóspedes ao longo de quatro anos sem ser detectada.
- Quatro superfícies de ataque costumam estar expostas ao mesmo tempo: PMS, POS, Wi-Fi de hóspedes e integrações com plataformas de reserva.
- A LGPD exige comunicação à ANPD dentro de um prazo próximo de 72 horas após o hotel tomar conhecimento de um incidente relevante.
- Manter cópias de documentos de identidade sem prazo de retenção definido é, na prática, uma violação da LGPD.
- Em 2023, um grande operador de cassinos e hotéis nos EUA sofreu um ataque de ransomware que interrompeu sistemas de check-in e fechaduras eletrônicas em mais de 30 propriedades, com perdas estimadas acima de US$ 100 milhões.
Por que a hotelaria é um alvo persistente
O caso mais citado do setor é o da rede Marriott, que revelou em 2018 que invasores mantiveram acesso não detectado ao banco de reservas da Starwood por cerca de quatro anos, expondo dados de aproximadamente 383 milhões de hóspedes, incluindo, em parte dos registros, número de passaporte. Dois anos depois, a mesma rede sofreu uma segunda violação, desta vez através do login comprometido de uma propriedade franqueada, afetando 5,2 milhões de hóspedes. Nenhum dos dois casos exigiu uma técnica sofisticada: em ambos, o ponto de entrada foi uma credencial comprometida em um sistema com controle de acesso insuficiente.
Em 2023, um dos maiores operadores de resorts e cassinos dos Estados Unidos sofreu um ataque de ransomware que tirou do ar sistemas de reservas, check-in e entrada sem chave em mais de 30 propriedades simultaneamente, com estimativas de perdas superiores a US$ 100 milhões considerando receita interrompida e custo de resposta ao incidente. O ataque começou com uma chamada de engenharia social ao suporte de TI, não com uma falha técnica.
As quatro superfícies de ataque mais importantes
A maioria dos incidentes relatados no setor se origina em uma destas quatro áreas.
Sistemas de Gestão de Propriedades (PMS)
O PMS é o sistema central de um hotel: reservas, perfis de hóspedes, histórico de pagamentos e, em muitas propriedades, o controle de acesso aos quartos passam por ele. Os riscos mais comuns são versões desatualizadas sem os patches mais recentes, controles de acesso fracos, credenciais administrativas compartilhadas entre a equipe e ausência de autenticação multifator. Já houve casos documentados de invasores permanecendo dentro de sistemas de PMS por mais de um ano sem detecção, coletando dados continuamente.
Terminais de Ponto de Venda (POS)
Restaurantes, bares e spas de hotéis já foram alvo de campanhas de malware de POS voltadas especificamente para roubo de dados de cartão no momento da passada ou inserção. A mitigação mais eficaz continua sendo a segmentação de rede: isolar os terminais de POS da rede corporativa e do PMS limita o quanto um invasor consegue avançar depois de comprometer um único terminal.
Wi-Fi de hóspedes
Quando a rede de hóspedes não está completamente isolada da rede operacional, qualquer pessoa conectada ao Wi-Fi do lobby tem, em tese, um caminho de rede até sistemas internos. Esse é um dos achados mais recorrentes em avaliações de segurança de hotéis: a segmentação existe no papel, mas na prática deixa brechas entre VLANs mal configuradas.
Plataformas de reservas e integrações com OTAs
Integrações de API com motores de reserva e agências de viagem online (OTAs) expõem nome, e-mail, telefone e, em alguns casos, dados parciais de cartão. Quando essas integrações são comprometidas, os dados expostos alimentam campanhas de phishing que se passam por confirmações de reserva, muitas vezes direcionadas à própria equipe da recepção.
Obrigações da LGPD que hotéis costumam ignorar
Mesmo quando o PMS, o motor de reservas ou o sistema de fidelidade são operados por um fornecedor terceirizado, o hotel continua sendo controlador dos dados dos seus hóspedes perante a LGPD. Isso significa que é preciso ter contratos de tratamento de dados (DPA) com cada fornecedor que processa dados de hóspedes, não apenas confiar na política de privacidade do fornecedor.
A lacuna mais comum é a ausência de uma política de retenção clara: é frequente encontrar hotéis que mantêm tokens de cartão, cópias de documentos e históricos de reserva indefinidamente, sem prazo de exclusão definido.
A contagem do prazo de notificação à ANPD começa quando o hotel tem motivos razoáveis para acreditar que um incidente ocorreu, não quando a investigação interna termina. Notificação fora do prazo é tratada como uma infração distinta da violação em si, e pode gerar penalidade adicional independentemente da gravidade do incidente original.
Cópias de documentos de identidade merecem atenção especial: armazená-las em uma pasta compartilhada sem controle de acesso, sem prazo de retenção e sem justificativa legal específica dificilmente atende aos requisitos da LGPD, mesmo que a coleta inicial tenha sido legítima para fins de registro de hóspede.
Como é uma linha de base de segurança credível para hotéis
Hotéis que implementam os controles abaixo conseguem demonstrar, para reguladores e seguradoras, uma postura de segurança defensável quando um incidente ocorre. Na hotelaria, incidentes acontecem com regularidade; a diferença está na velocidade de contenção e na capacidade de documentar o que foi feito.
| Controle | Por que importa |
|---|---|
| Segmentação de rede | Separar Wi-Fi de hóspedes, POS, PMS e back-office em VLANs distintas é o controle de maior impacto isolado contra movimento lateral. |
| MFA em sistemas externos | Credenciais comprometidas são o vetor de acesso inicial mais comum; MFA neutraliza a maior parte desses ataques. |
| Cadência de patches | PMS e POS costumam ficar anos atrás em atualizações; o que não pode ser corrigido precisa ser isolado. |
| Simulações de phishing | Treinamento anual isolado não acompanha a rotatividade de equipe da recepção; simulações trimestrais mantêm a atenção calibrada. |
| Retenção definida de dados | Prazos de 12 a 36 meses para dados transacionais e exclusão em poucos dias para documentos de identidade reduzem a superfície exposta em uma violação. |
| Plano de resposta a incidentes | Precisa cobrir cenários específicos de hotel: PMS fora do ar durante check-in, comunicação a hóspedes e notificação regulatória em 72 horas. |
Os requisitos de segurança de dados de cartão de pagamento são mantidos pelo PCI Security Standards Council. As orientações da Autoridade Nacional de Proteção de Dados sobre prazos e obrigações de notificação estão disponíveis em gov.br/anpd.
Se você quer entender onde está a maior exposição do seu hotel, nossa equipe de cibersegurança hoteleira conduz uma avaliação inicial cobrindo PMS, POS, Wi-Fi de hóspedes, fornecedores e conformidade com a LGPD, e devolve uma lista de ações priorizadas em vez de um relatório genérico.
Perguntas frequentes
Por que os hotéis são alvos preferidos de cibercriminosos?
Hotéis concentram vários tipos de dados de alto valor em um único ambiente: dados de cartão de pagamento, documentos de identidade, credenciais de programas de fidelidade e itinerários de viagem. Essa concentração, somada a um ambiente de TI complexo que envolve PMS, POS, Wi-Fi de hóspedes e integrações com plataformas de reserva, cria uma superfície de ataque grande. O investimento em segurança no setor costuma ser menor do que em outros setores que lidam com dados igualmente sensíveis, o que torna a hotelaria um alvo comparativamente mais fácil.
O que a LGPD exige de um hotel depois de uma violação de dados?
A LGPD exige que o hotel comunique a ANPD em prazo razoável após tomar conhecimento de um incidente de segurança que possa acarretar risco relevante aos titulares. Na prática, o padrão de mercado e a orientação da ANPD apontam para uma janela próxima de 72 horas. Se houver risco ou dano relevante aos hóspedes, eles também precisam ser comunicados. O prazo começa a contar quando o hotel tem motivos razoáveis para acreditar que houve um incidente, não quando a investigação termina.
Por quanto tempo um hotel pode guardar cópias de documentos de identidade dos hóspedes?
A retenção precisa estar amparada em uma base legal específica e limitada ao período mínimo necessário para essa finalidade, normalmente o cumprimento de uma obrigação legal de registro de hóspedes. Manter essas cópias indefinidamente, por exemplo em uma pasta compartilhada sem controle de acesso, dificilmente atende aos requisitos da LGPD. É necessário ter política de retenção documentada, prazo de exclusão definido e controle de quem pode acessar esses arquivos.
Qual é o maior risco de segurança nos sistemas de gestão de propriedades (PMS)?
O PMS concentra reservas, perfis de hóspedes, histórico de pagamentos e, em muitos casos, controle de acesso aos quartos. Os principais riscos são credenciais obtidas por phishing ou reutilizadas de outros vazamentos, patches de segurança atrasados e movimento lateral a partir de um sistema de terceiros menos protegido conectado ao PMS. Segmentação de rede e autenticação multifator são as mitigações com melhor custo-benefício para esse risco.
Como é uma linha de base básica de cibersegurança para um hotel?
Uma linha de base credível inclui: autenticação multifator em todo acesso administrativo e ao PMS; segmentação de rede separando Wi-Fi de hóspedes, sistemas operacionais e ambiente de dados de cartão; patches regulares em PMS e POS; treinamento periódico de phishing para a equipe da recepção; um plano de resposta a incidentes com checklist de notificação regulatória; backups criptografados testados com regularidade; e revisão de segurança de todos os fornecedores integrados.
Quer saber onde está a maior exposição do seu hotel?
Fale com a nossa equipe e conheça a avaliação de cibersegurança da HotelTI, com base em riscos reais de PMS, POS, Wi-Fi de hóspedes e fornecedores.