Riscos de cibersegurança em hotéis: o que muitos ainda não enfrentam
Hotéis concentram dados de pagamento, documentos de identidade e histórico de viagens em um único lugar, dentro de um ambiente de TI que conecta PMS, POS, Wi-Fi de hóspedes e muitos fornecedores externos. Este guia detalha as quatro superfícies de ataque recorrentes no setor, as obrigações da LGPD que costumam ficar de fora do radar e como montar uma linha de base de segurança defensável.
Hotéis lidam com um volume de dados pessoais sensíveis que poucos outros setores de varejo alcançam: número de cartão de pagamento, cópia de passaporte ou RG, endereço residencial, histórico de estadias e, em muitos casos, dados de programas de fidelidade que valem dinheiro real. Esse volume de dados atrai atenção. E o ambiente de TI que sustenta uma operação hoteleira, PMS, POS, Wi-Fi de hóspedes, fechaduras eletrônicas e integrações com OTAs, normalmente cresce por adição ao longo dos anos, sem que a segurança acompanhe no mesmo ritmo.
- Uma das maiores violações já registradas no setor hoteleiro, a da Starwood, afetou cerca de 339 milhões de registros de hóspedes e ficou quatro anos sem ser detectada.
- Quatro superfícies de ataque costumam estar expostas ao mesmo tempo: PMS, POS, Wi-Fi de hóspedes e integrações com plataformas de reserva.
- Pela Resolução CD/ANPD nº 15/2024, incidentes que possam acarretar risco ou dano relevante devem ser comunicados à ANPD e aos titulares em até 3 dias úteis a partir do conhecimento; agentes de pequeno porte têm prazo em dobro.
- Manter cópias de documentos de identidade sem prazo de retenção definido dificilmente atende aos princípios de finalidade e necessidade da LGPD.
- Em 2023, um ataque de ransomware afetou reservas, check-in e chaves digitais da MGM Resorts nos EUA, com impacto estimado pela própria empresa em cerca de US$ 100 milhões no resultado do trimestre.
Por que a hotelaria é um alvo persistente
Um dos casos mais citados do setor é o da rede Marriott, que revelou em 2018 que invasores mantiveram acesso não detectado ao banco de reservas da Starwood por cerca de quatro anos, afetando cerca de 339 milhões de registros de hóspedes, segundo a decisão final da autoridade britânica de proteção de dados (ICO), incluindo, em parte dos registros, número de passaporte. Dois anos depois, a mesma rede sofreu uma segunda violação, desta vez através do login comprometido de uma propriedade franqueada, afetando 5,2 milhões de hóspedes. Nenhum dos dois casos dependeu de uma técnica inédita: no incidente de 2020, o ponto de entrada foi uma credencial comprometida; no da Starwood, o que mais pesou foram os quatro anos sem detecção.
Em setembro de 2023, a MGM Resorts, uma das maiores operadoras de resorts e cassinos dos Estados Unidos, teve reservas, check-in e chaves digitais afetados em suas propriedades americanas por vários dias. Em comunicado à SEC, a empresa estimou um impacto negativo de cerca de US$ 100 milhões no resultado do trimestre. Segundo as reportagens da época, o ataque começou com uma ligação de engenharia social ao suporte de TI, não com uma falha técnica.
As quatro superfícies de ataque mais importantes
Os incidentes relatados no setor costumam envolver ao menos uma destas quatro áreas.
Sistemas de Gestão de Propriedades (PMS)
O PMS é o sistema central de um hotel: reservas, perfis de hóspedes, histórico de pagamentos e, em muitas propriedades, o controle de acesso aos quartos passam por ele. Riscos frequentes são versões desatualizadas sem os patches mais recentes, controles de acesso fracos, credenciais administrativas compartilhadas entre a equipe e ausência de autenticação multifator. Já houve casos documentados de invasores permanecendo dentro de sistemas de PMS por mais de um ano sem detecção, coletando dados continuamente.
Terminais de Ponto de Venda (POS)
Restaurantes, bares e spas de hotéis já foram alvo de campanhas de malware de POS voltadas especificamente para roubo de dados de cartão no momento da passada ou inserção. A mitigação mais eficaz continua sendo a segmentação de rede: isolar os terminais de POS da rede corporativa e do PMS limita o quanto um invasor consegue avançar depois de comprometer um único terminal.
Wi-Fi de hóspedes
Quando a rede de hóspedes não está completamente isolada da rede operacional, qualquer pessoa conectada ao Wi-Fi do lobby tem, em tese, um caminho de rede até sistemas internos. Esse é um dos achados mais recorrentes em avaliações de segurança de hotéis: a segmentação existe no papel, mas na prática deixa brechas entre VLANs mal configuradas.
Plataformas de reservas e integrações com OTAs
Integrações de API com motores de reserva e agências de viagem online (OTAs) expõem nome, e-mail, telefone e, em alguns casos, dados parciais de cartão. Quando essas integrações são comprometidas, os dados expostos alimentam campanhas de phishing que se passam por confirmações de reserva, muitas vezes direcionadas à própria equipe da recepção.
Obrigações da LGPD que hotéis costumam ignorar
Mesmo quando o PMS, o motor de reservas ou o sistema de fidelidade são operados por um fornecedor terceirizado, em muitos desses fluxos o hotel continua atuando como controlador dos dados dos seus hóspedes perante a LGPD, e o fornecedor como operador. Isso significa definir em contrato as responsabilidades de proteção de dados com os fornecedores que tratam dados de hóspedes em nome do hotel, não apenas confiar na política de privacidade do fornecedor.
Uma lacuna comum é a ausência de uma política de retenção clara: não é raro encontrar hotéis que mantêm tokens de cartão, cópias de documentos e históricos de reserva indefinidamente, sem prazo de exclusão definido.
A contagem do prazo de notificação à ANPD e aos titulares começa quando o hotel tem conhecimento de que o incidente afetou dados pessoais, não quando a investigação interna termina. Agentes de pequeno porte contam com o prazo em dobro. A falta de comunicação, ou a comunicação fora do prazo, pode ser tratada pela ANPD como uma infração própria, além das falhas de segurança que levaram ao incidente.
Cópias de documentos de identidade merecem atenção especial: armazená-las em uma pasta compartilhada sem controle de acesso, sem prazo de retenção e sem justificativa legal específica dificilmente atende aos requisitos da LGPD, mesmo que a coleta inicial tenha sido legítima para fins de registro de hóspede.
Como é uma linha de base de segurança credível para hotéis
Hotéis que implementam os controles abaixo conseguem demonstrar, para reguladores e seguradoras, uma postura de segurança defensável quando um incidente ocorre. Na hotelaria, incidentes acontecem com regularidade; a diferença está na velocidade de contenção e na capacidade de documentar o que foi feito.
| Controle | Por que importa |
|---|---|
| Segmentação de rede | Separar Wi-Fi de hóspedes, POS, PMS e back-office em VLANs distintas é o controle de maior impacto isolado contra movimento lateral. |
| MFA em sistemas externos | Credenciais comprometidas estão entre os vetores de acesso inicial mais comuns; MFA bloqueia boa parte dos ataques que dependem apenas de senha. |
| Backups protegidos e recuperação testada | Cópias que o ambiente de produção não consegue alterar nem apagar, com a restauração dos sistemas críticos testada de verdade, são o que permite voltar a operar depois de um ransomware. |
| Contas privilegiadas | Contas de administrador nominais, separadas do uso diário e guardadas em um gerenciador de credenciais, limitam o estrago de uma senha roubada. |
| Acesso remoto de fornecedores | Acessos de suporte permanentes podem virar porta de entrada; libere sob demanda, com MFA e registro, e revise periodicamente quem ainda tem acesso. |
| Cadência de patches | PMS e POS costumam ficar anos atrás em atualizações; o que não pode ser corrigido precisa ser isolado. |
| Simulações de phishing | Treinamento anual isolado não acompanha a rotatividade de equipe da recepção; simulações trimestrais mantêm a atenção calibrada. |
| Retenção definida de dados | Prazos de retenção definidos por finalidade e obrigação legal, com exclusão das cópias de documentos que não precisam ser guardadas, reduzem a superfície exposta em uma violação. |
| Plano de resposta a incidentes | Precisa cobrir cenários específicos de hotel: PMS fora do ar durante check-in, comunicação a hóspedes e notificação regulatória em 3 dias úteis. |
Os requisitos de segurança de dados de cartão de pagamento são mantidos pelo PCI Security Standards Council. As orientações da Autoridade Nacional de Proteção de Dados sobre prazos e obrigações de notificação estão disponíveis em gov.br/anpd.
Se você quer entender onde está a maior exposição do seu hotel, nossa equipe de cibersegurança hoteleira conduz uma avaliação inicial cobrindo PMS, POS, Wi-Fi de hóspedes, fornecedores e conformidade com a LGPD, e devolve uma lista de ações priorizadas em vez de um relatório genérico.
Fontes
- ANPD, Resolução CD/ANPD nº 15, Regulamento de Comunicação de Incidente de Segurança (abril de 2024), in.gov.br
- MGM Resorts International, Form 8-K (outubro de 2023), sec.gov
- PCI Security Standards Council, PCI DSS v4.0.1 e Self-Assessment Questionnaires, pcisecuritystandards.org
Cibersegurança hoteleira
Avaliações de risco, segmentação de rede, MFA e gestão de fornecedores para hotéis e resorts.
Ver serviço- Avaliação de risco de TI
- Segmentação de rede e Wi-Fi
- Controle de fornecedores
- Resposta a incidentes
Artigos relacionados
Por que os hotéis são alvos preferidos de cibercriminosos?
Hotéis concentram vários tipos de dados de alto valor em um único ambiente: dados de cartão de pagamento, documentos de identidade, credenciais de programas de fidelidade e itinerários de viagem. Essa concentração, somada a um ambiente de TI complexo que envolve PMS, POS, Wi-Fi de hóspedes e integrações com plataformas de reserva, cria uma superfície de ataque grande. O investimento em segurança no setor costuma ser menor do que em outros setores que lidam com dados igualmente sensíveis, o que torna a hotelaria um alvo comparativamente mais fácil.
O que a LGPD exige de um hotel depois de uma violação de dados?
Pela Resolução CD/ANPD nº 15/2024, o hotel deve comunicar à ANPD e aos titulares afetados em até 3 dias úteis após tomar conhecimento de que um incidente de segurança afetou dados pessoais em condições de risco ou dano relevante. Agentes de pequeno porte contam com o prazo em dobro. O prazo começa a contar quando o hotel tem motivos razoáveis para acreditar que os dados foram afetados, não quando a investigação termina.
Por quanto tempo um hotel pode guardar cópias de documentos de identidade dos hóspedes?
A retenção precisa estar amparada em uma base legal específica e limitada ao período mínimo necessário para essa finalidade, normalmente o cumprimento de uma obrigação legal de registro de hóspedes. Manter essas cópias indefinidamente, por exemplo em uma pasta compartilhada sem controle de acesso, dificilmente atende aos requisitos da LGPD. É necessário ter política de retenção documentada, prazo de exclusão definido e controle de quem pode acessar esses arquivos.
Qual é o maior risco de segurança nos sistemas de gestão de propriedades (PMS)?
O PMS concentra reservas, perfis de hóspedes, histórico de pagamentos e, em muitos casos, controle de acesso aos quartos. Os principais riscos são credenciais obtidas por phishing ou reutilizadas de outros vazamentos, patches de segurança atrasados e movimento lateral a partir de um sistema de terceiros menos protegido conectado ao PMS. Segmentação de rede e autenticação multifator são as mitigações com melhor custo-benefício para esse risco.
Como é uma linha de base básica de cibersegurança para um hotel?
Uma linha de base credível inclui: autenticação multifator em todo acesso administrativo e ao PMS; segmentação de rede separando Wi-Fi de hóspedes, sistemas operacionais e ambiente de dados de cartão; patches regulares em PMS e POS; treinamento periódico de phishing para a equipe da recepção; um plano de resposta a incidentes com checklist de notificação regulatória; backups criptografados testados com regularidade; e revisão de segurança de todos os fornecedores integrados.
Quer saber onde está a maior exposição do seu hotel?
Faça a avaliação gratuita de cibersegurança da HotelTI, com base em riscos reais de PMS, POS, Wi-Fi de hóspedes e fornecedores.