Segurança de Wi-Fi para hóspedes: como proteger a rede do hotel

Um erro frequente: uma rede para tudo

Em muitos hotéis, sobretudo os de médio porte que cresceram organicamente ao longo dos anos, a rede Wi-Fi foi montada aos poucos: primeiro para os hóspedes, depois a recepção "emprestou" a mesma rede para o computador do PMS, depois as câmeras de segurança foram instaladas usando o Wi-Fi disponível mais próximo. O resultado é uma única rede plana onde o notebook de um hóspede e o terminal que processa pagamentos de reserva estão, do ponto de vista da rede, no mesmo ambiente.

Isso não é um detalhe técnico menor. É a diferença entre um hóspede mal-intencionado (ou um dispositivo de hóspede já infectado por malware) conseguir apenas navegar na internet, e esse mesmo dispositivo conseguir enxergar e tentar acessar a impressora da recepção, o servidor do PMS ou uma câmera de segurança.

O modelo mínimo: quatro redes separadas

• Rede de hóspedes: acesso à internet, sem visibilidade de nenhum outro equipamento do hotel, idealmente com portal cativo e código único por estadia.
• Rede administrativa: PMS, computadores da recepção e sistemas de gestão, completamente isolada da rede de hóspedes.
• Rede de pagamento: terminais POS e sistemas que processam cartão, separados também da rede administrativa, o que reduz o escopo do PCI DSS.
• Rede de infraestrutura e IoT: câmeras de segurança, fechaduras eletrônicas (fechadura digital ou entrada sem chave), automação predial e outros dispositivos conectados, isolada tanto da rede de hóspedes quanto da administrativa.

Tecnicamente, isso é implementado com VLANs (redes locais virtuais) configuradas no switch e no controlador de Wi-Fi, com regras de firewall explícitas que bloqueiam qualquer tráfego entre essas quatro redes, exceto o estritamente necessário (por exemplo, um sistema de monitoramento central que precisa ler dados das câmeras).

Por que câmeras e fechaduras merecem uma rede própria

Dispositivos de IoT, câmeras de segurança, fechaduras eletrônicas de porta, sensores de automação, costumam ter dois problemas recorrentes: firmware que raramente é atualizado, e senha padrão de fábrica que nunca foi trocada durante a instalação. Isso os torna um dos alvos mais fáceis de comprometer em qualquer rede, e por isso eles nunca deveriam compartilhar rede com a área administrativa ou, pior, com os hóspedes.

Uma VLAN dedicada para esses dispositivos, com acesso à internet restrito ao mínimo necessário (ou nenhum, quando o dispositivo só precisa ser acessado localmente), reduz bastante a superfície de ataque desses equipamentos.

Portal cativo: segurança sem prejudicar a experiência do hóspede

Segmentar a rede não significa tornar o Wi-Fi do hóspede complicado de usar. Um portal cativo bem configurado, com um código único por estadia gerado automaticamente pelo PMS (e não uma combinação fácil de adivinhar, como número do quarto e sobrenome), cumpre dois objetivos ao mesmo tempo: mantém a conexão simples para quem está hospedado e permite saber qual estadia usou a rede, o que ajuda a investigar um uso indevido. Somado ao isolamento de clientes (client isolation) no controlador de Wi-Fi, que impede a comunicação direta entre dispositivos de hóspedes, dificulta que um dispositivo comprometido ataque o notebook do quarto vizinho.

Redes abertas sem qualquer senha ainda aparecem em hotéis menores. Hoje, boa parte da navegação já é criptografada (HTTPS), então o problema principal não é tanto alguém ler o tráfego do hóspede, e sim o resto: qualquer pessoa ao alcance do sinal entra na rede, fica mais fácil montar uma rede falsa com o mesmo nome para enganar hóspedes (o chamado evil twin), não há como saber qual estadia usou a rede e, sem isolamento de clientes, os dispositivos ficam expostos uns aos outros.

Como saber se a sua rede já está exposta

Um teste simples, embora não substitua uma auditoria completa, é conectar um notebook à rede de hóspedes e tentar alcançar o endereço IP de um equipamento administrativo conhecido, como a impressora da recepção. Se houver qualquer resposta de rede (mesmo sem conseguir usar o equipamento), a segmentação não está funcionando como deveria. Uma auditoria técnica formal revisa a configuração das VLANs, as regras de firewall entre elas, e testa esse isolamento de forma sistemática, cobrindo também os pontos de acesso Wi-Fi físicos e sua configuração.

Marco Civil da Internet: a guarda dos logs de conexão

Além da segmentação, oferecer Wi-Fi a hóspedes levanta uma questão legal própria, distinta da LGPD. O Marco Civil da Internet (Lei 12.965/2014, art. 13) obriga quem provê conexão à internet, na figura do administrador de sistema autônomo, a guardar os registros de conexão (IP, data e hora de início e fim de cada sessão) por um ano, sob sigilo, e a só entregá-los mediante ordem judicial. Se e como essa obrigação alcança o Wi-Fi de um hotel depende de como o serviço é prestado e por quem, e o tema não é pacífico. A posição prudente é guardar esses registros por um ano, deixar claro em contrato quem os mantém quando a rede é operada por um provedor de Wi-Fi gerenciado e confirmar o modelo com o jurídico.

Na prática, o portal cativo ou o controlador de Wi-Fi precisa gerar esse log de forma auditável, associado à reserva ou ao dispositivo autenticado, não apenas entregar acesso à internet sem nenhum registro por trás.

Próximos passos

Segmentar a rede de um hotel que já está em operação, sem interromper o funcionamento do PMS ou o acesso dos hóspedes durante a mudança, exige planejamento técnico cuidadoso. Dentro do trabalho contínuo de gestão de TI, nossa equipe faz esse diagnóstico, planeja a segmentação em etapas e coordena o fornecedor de rede que a executa, para que a mudança aconteça sem parar a operação. Fale com a nossa equipe.