Los negocios de hostelería almacenan, transmiten y revisan pagos constantemente, y cada una de estas transacciones es un objetivo potencial de fraude. Los hoteles guardan las tarjetas de los clientes por si quieren optar a mejores habitaciones, para cobrar las consumiciones del minibar y las salidas tardías, entre otras cosas. Los restaurantes manejan miles de tarjetas al día, a menudo en terminales conectados en múltiples ubicaciones. Los spas y resorts aceptan depósitos con meses de anticipación. Estas transacciones crean oportunidades para los delincuentes que buscan robar los datos de las tarjetas, interceptar transacciones o colarse en los puntos débiles del sistema de reservas de una empresa.

Cuando se produce una infracción, cuesta dinero a la empresa, crea problemas normativos y perjudica la imagen de marca y la lealtad de los clientes. Una empresa hotelera estadounidense, por ejemplo, acordó pagar 52 millones de dólares en un litigio de 2024 tras las filtraciones de datos que afectaron a más de 300 millones de clientes en todo el mundo.

A continuación, explicaremos los riesgos a los que se enfrentan las empresas de hostelería y cómo gestionarlos antes de que se conviertan en un problema, incluida la forma de bloquear los datos de pago sin ralentizar la experiencia del huésped.

¿De qué trata este artículo?

• ¿Por qué es tan importante la seguridad de los pagos para el sector de la hostelería?
  
• ¿Cuáles son las mayores amenazas para los datos de pago de la hostelería?
  
• ¿Cómo pueden las empresas de hostelería proteger los sistemas de pago?
  

¿Por qué es tan importante la seguridad en los pagos para el sector de la hostelería?

El sector de la hostelería se enfrenta a retos únicos en torno a la seguridad de los pagos. Desde la reserva de una habitación hasta la apertura de la cuenta de un bar y la salida de un resort, cada transacción forma parte de la experiencia del huésped. A diferencia del comercio minorista o del comercio electrónico, los pagos de hostelería suelen estar vinculados a estancias largas, transacciones de alto valor y diferentes tipos de datos personales.

A continuación, explicamos por qué la seguridad en los pagos es especialmente importante para las empresas de hostelería.

Ventana de pago ampliada

Cuando un huésped se registra en un hotel, su tarjeta permanece archivada durante días (a veces más), algo que sucede en muy pocos sectores. Esto crea una ventana más larga para posibles infracciones.

La información de pago se almacena en varios canales

Los hoteles y resorts aceptan pagos con tarjeta en persona en la recepción, pero también aceptan depósitos en línea, procesan cargos imprevistos durante una estancia, liquidan facturas a través de aplicaciones y administran programas de recompensas que almacenan datos de tarjetas. Cada canal de pago adicional es una capa potencialmente vulnerable a los ataques.

Las transacciones de alto valor crean un objetivo más grande

Un restaurante de comida rápida que procesa pedidos de 10 € generalmente no atrae el mismo nivel de fraude que un hotel de lujo que procesa reservas de 5000 €. Los ciberdelincuentes van donde está el dinero, y las empresas hoteleras, especialmente las que manejan reservas premium, cuentas corporativas o estancias prolongadas, son objetivos lucrativos. Una sola filtración puede exponer un gran volumen de datos de pago a la vez, a veces en varias ubicaciones si los sistemas no están debidamente segmentados.

Los delincuentes también pueden apuntar a información personal

La seguridad en los pagos en hostelería va más allá de la protección de los números de tarjeta. Incluye salvaguardar todo el perfil del huésped: nombre, correo electrónico, número de teléfono, domicilio, datos del pasaporte y, a veces, incluso hábitos de viaje. Este tipo de datos personales es una mina de oro para los ladrones de identidad. Incluso si los atacantes no pueden usar un número de tarjeta de crédito robado, pueden vender los datos personales de un huésped para fraudes o estafas de phishing.

El daño a la reputación es difícil de recuperar.

La hostelería se basa en la confianza. Alojarse en un hotel o resort e interactuar con el personal en persona crea una experiencia más personal para el cliente que comprar algo en línea. Una brecha puede sacudir la confianza de los clientes de una manera que los descuentos y las campañas de relaciones públicas no siempre pueden solucionar.

¿Cuáles son las mayores amenazas para los datos de pagos de hostelería?

A diferencia del comercio electrónico, en el que la mayoría de los pagos se realizan en línea y están automatizados, la hostelería funciona con una combinación de interacción humana, tecnología heredada y retenciones de pagos de larga duración. Estos elementos crean vulnerabilidades que los delincuentes pueden explotar. Estas son algunas de las tácticas más comunes que utilizan los ciberdelincuentes para acceder a los negocios de hostelería.

Brechas en el sistema de reservas de terceros

Aunque un hotel bloquee su propio sistema de pago, el sistema suele estar conectado a plataformas de terceros en aspectos como las reservas, servicios de spa, comidas o solicitudes de conserjería. Toda integración es un eslabón débil potencial. Los atacantes pueden encontrar que el punto de entrada más fácil es un proveedor más pequeño y pasado por alto con una seguridad más débil.

Manipulación por parte del personal

La hostelería tiene una alta tasa de rotación de empleados, personal estacional y una fuerza laboral que podría estar más capacitada en servicio al cliente que en seguridad. Los ciberdelincuentes pueden explotar esto a través de la ingeniería social, haciéndose pasar por gerentes de hotel, soporte de TI o incluso huéspedes para engañar a los empleados para que entreguen las credenciales de inicio de sesión o eludan los protocolos de seguridad.

Fraude interno

En restaurantes, bares y hoteles, los empleados a veces tienen acceso directo a terminales de pago. Eso significa que una persona con malas intenciones puede tener en sus manos los datos de pago de los clientes y llevar a cabo un esquema de fraude más grave, robando miles de datos de clientes a la vez.

Ataques a puntos de venta (POS)

Muchas empresas de hostelería dependen de sistemas POS que están conectados a través de múltiples ubicaciones. Si el malware infecta un terminal, puede propagarse rápidamente a todos los demás sistemas POS de la red. Estos ataques son particularmente peligrosos porque no solo roban datos en un solo lugar, sino que convierten cada punto de compra en una posible fuga. En 2015, por ejemplo, una empresa hotelera estadounidense descubrió que su sistema de procesamiento de pagos estaba infectado con malware para robar información de tarjetas de crédito, lo que pudo haber afectado a cientos de sus hoteles.

¿Cómo pueden las empresas de hostelería proteger los sistemas de pago?

Los consejos habituales para mejorar la seguridad de los pagos, como cifrar las transacciones o mantener el cumplimiento de la Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS), son importantes, pero no son suficientes para las empresas de hostelería. Los hoteles o restaurantes que solo siguen las listas de verificación de cumplimiento siguen siendo vulnerables. La verdadera seguridad significa diseñar los pagos con el objetivo de reducir la exposición y los puntos débiles, así como para dificultar las operaciones de los delincuentes, todo ello sin afectar a la experiencia del cliente ni sacrificar la comodidad.

En la práctica, esto es lo que debes tener en cuenta.

Oculta los datos de pago antes de que los delincuentes puedan robarlos.

La tokenización sustituye los datos confidenciales del pago por una cadena aleatoria de caracteres denominada «token». Si un atacante vulnera tu sistema, no encontrará ningún número de tarjeta de crédito, solo tokens inútiles. La tokenización garantiza que, aunque los delincuentes penetren en los sistemas, no haya nada valioso que robar. Usa un proveedor de servicios de pago que ofrezca tokenización integrada.

Limita quién (y qué) toca los datos de pago

Muchas brechas se producen porque un atacante encuentra un punto débil en algún lugar distinto del sistema central de procesamiento de pagos, por ejemplo, un inicio de sesión del personal desprotegido, una integración antigua o un proveedor externo con deficiencias de seguridad. Los negocios de hostelería pueden reducir su riesgo de la siguiente manera:

• Limitando los permisos solo a lo que realmente necesita cada rol.

• No permitiendo que su sistema POS comparta una red con redes Wi-Fi de invitados.

• No almacenando los datos de pago en el mismo sistema que la información de fidelización del cliente.

• Examinando las medidas de seguridad de los proveedores externos.

Diseña sistemas inteligentes para evitar errores de los empleados

Ya sea haciendo clic en un correo electrónico de phishing o cayendo en una llamada telefónica de piratas informáticos que se hacen pasar por soporte de TI, el error humano es a veces la forma más fácil de entrar para los atacantes. En lugar de limitarte a formar a los empleados para que sean más cuidadosos, apuesta por diseñar sistemas que dificulten la posibilidad de errores:

• Utiliza la autenticación de dos factores (2FA) para los inicios de sesión de pago. Incluso si se roba la contraseña de un empleado, la 2FA bloquea el acceso.

• Limita el acceso al correo electrónico en los sistemas POS. Si los ordenadores de la recepción o los terminales de los restaurantes no tienen capacidad de revisar el correo electrónico, los intentos de phishing se vuelven un problema menor.

Reemplaza el hardware obsoleto antes de que los delincuentes lo exploten

En la hostelería, el hardware es igual de vulnerable que el software. Los hoteles y restaurantes dependen de los terminales de punto de venta, los lectores de tarjetas y los sistemas de llave de tarjetas, todos los cuales deben actualizarse continuamente. El hardware obsoleto hace que sea más fácil para los atacantes robar datos de tarjetas, instalar malware o deslizarse a través de un cifrado débil. Ten en cuenta lo siguiente:

• Actualiza los terminales POS a modelos con cifrado de extremo a extremo (E2EE) y compatibilidad con EMV (tarjeta con chip).

• Reemplaza los lectores de tarjetas o los quioscos de check-in que no hayan tenido actualizaciones recientes de firmware.

• Acepta pagos Tap to Pay y pagos móviles (por ejemplo, monederos digitales) para depender menos de las tarjetas físicas, que son más fáciles de comprometer.