Las empresas de hotelería almacenan, transmiten y revisan los pagos constantemente, y cada una de estas transacciones es un objetivo potencial para el fraude. Los hoteles guardan las tarjetas de los clientes para las mejoras de habitación, las cuentas del minibar y las salidas tardías. Los restaurantes manejan miles de pases al día, a menudo en terminales conectadas a través de múltiples ubicaciones. Los spas y resorts aceptan depósitos con meses de anticipación. Estas transacciones crean oportunidades para los delincuentes que buscan robar los datos de las tarjetas, interceptar transacciones o colarse en los puntos débiles del sistema de reservas de una empresa.

Cuando se produce una infracción, genera un gasto para la empresa, crea problemas de cumplimiento de la normativa y daña la imagen de la marca y la fidelidad del cliente. Una empresa hotelera estadounidense, por ejemplo, acordó pagar $52 millones en un acuerdo de 2024 tras las filtraciones de datos que afectaron a más de 300 millones de clientes en todo el mundo.

A continuación, explicaremos los riesgos a los que se enfrentan las empresas de hotelería y cómo gestionarlos antes de que se conviertan en un problema, incluido cómo bloquear los datos de pago sin ralentizar la experiencia de los huéspedes.

¿Qué contiene este artículo?

• ¿Por qué es tan importante la seguridad de los pagos para el sector hotelero?
  
• ¿Cuáles son las mayores amenazas para los datos de pagos en el sector hotelero?
  
• ¿Cómo puede el sector hotelero proteger los sistemas de pago?
  

¿Por qué es tan importante la seguridad de los pagos para el sector hotelero?

El sector hotelero se enfrenta a desafíos únicos en torno a la seguridad de los pagos. Desde la reserva de una habitación hasta la apertura de la cuenta de un bar y la salida de un resort, cada transacción forma parte de la experiencia del huésped. A diferencia del comercio minorista o del comercio electrónico, los pagos en el sector hotelero suelen estar vinculados a estancias largas, transacciones de alto valor y diferentes tipos de datos personales.

Esto es lo que hace que la seguridad de los pagos sea especialmente importante para las empresas de hotelería.

Una ventana de pago extendida

Cuando un huésped se registra en un hotel, su tarjeta permanece archivada durante días (a veces más), lo que no es común en otros sectores. Esto crea una ventana más larga para posibles infracciones.

La información de pago se almacena en varios canales

Los hoteles y resorts aceptan pagos con tarjeta en persona en la recepción, pero también aceptan depósitos en línea, procesan cargos imprevistos durante una estadía, liquidan facturas a través de aplicaciones y administran programas de recompensas que almacenan datos de tarjetas. Cada canal de pago adicional es otra superficie potencialmente vulnerable a los ataques.

Las transacciones de alto valor crean un objetivo más grande

Un restaurante de comida rápida que procesa pedidos de $10 generalmente no atrae el mismo nivel de fraude que un hotel de lujo que procesa reservas por $5,000. Los ciberdelincuentes van donde está el dinero, y las empresas de hotelería, especialmente las que gestionan reservas premium, cuentas corporativas o estancias prolongadas, son objetivos lucrativos. Una sola filtración puede exponer un gran volumen de datos de pagos a la vez, a veces en varias ubicaciones si los sistemas no están correctamente segmentados.

Los delincuentes también pueden apuntar a los datos personales

La seguridad de los pagos en el sector hotelero va más allá de la protección de los números de tarjeta. Incluye la protección de todo el perfil del huésped: nombre, correo electrónico, número de teléfono, domicilio, datos del pasaporte y, a veces, incluso hábitos de viaje. Este tipo de datos personales es una mina de oro para los ladrones de identidad. Incluso si los atacantes no pueden usar un número de tarjeta de crédito robado, pueden vender los datos personales de un huésped para fraudes o estafas de phishing.

Es difícil recuperarse del daño a la reputación

El sector hotelero se basa en la confianza. Alojarse en un hotel o resort e interactuar con los empleados en persona crea una experiencia más íntima para el cliente que comprar algo en línea. Una filtración de datos puede sacudir la confianza de los clientes de una manera que los descuentos y las campañas de relaciones públicas no siempre pueden solucionar.

¿Cuáles son las mayores amenazas para los datos de pagos en el sector hotelero?

A diferencia del comercio electrónico, en el que la mayoría de los pagos se realizan en línea y están automatizados, el sector hotelero funciona con una combinación de interacción humana, tecnología heredada y retenciones de pago de larga duración. Estos elementos crean vulnerabilidades que los delincuentes pueden explotar. Estas son algunas de las tácticas más comunes que utilizan los ciberdelincuentes para acceder a los negocios del sector hotelero.

Filtraciones de datos del sistema de reservas de terceros

Incluso si un hotel bloquea su propio sistema de pago, el sistema suele estar conectado a plataformas de terceros para reservas, servicios de spa, comidas o solicitudes de conserjería. Cada integración es un eslabón débil potencial. Los atacantes pueden encontrar que el punto de entrada más fácil es un proveedor más pequeño y pasado por alto con una seguridad más débil.

Manipulación del personal

El sector hotelero tiene una alta tasa de rotación de empleados, personal estacional y una fuerza laboral que podría estar más capacitada en servicio al cliente que en seguridad. Los ciberdelincuentes pueden explotar esto a través de la ingeniería social, haciéndose pasar por gerentes de hotel, soporte de TI o incluso huéspedes para engañar a los empleados de modo tal que entreguen credenciales de inicio de sesión o eludan los protocolos de seguridad.

Fraude interno

En restaurantes, bares y hoteles, los empleados a veces tienen acceso directo a las terminales de pago. Esto significa que una persona con acceso a información confidencial y malas intenciones puede tomar los datos de pago de los clientes y llevar a cabo un esquema de fraude más grave, robando los datos de miles de clientes a la vez.

Ataques al punto de venta (POS)

Muchos hoteles dependen de sistemas POS que están conectados a través de múltiples ubicaciones. Si el malware infecta una terminal, puede propagarse rápidamente a todos los demás sistemas POS de la red. Estos ataques son particularmente peligrosos porque no solo roban datos en un solo lugar, sino que convierten cada punto de pago en una posible fuga de datos. En 2015, por ejemplo, una empresa hotelera estadounidense descubrió que su sistema de procesamiento de pagos estaba infectado con malware para robar información de tarjetas de crédito, lo que podría haber afectado a cientos de sus hoteles.

¿Cómo puede el sector hotelero proteger los sistemas de pago?

Los consejos habituales para mejorar la seguridad de los pagos, como cifrar las transacciones o mantener el cumplimiento del Estándar de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS), son importantes, pero no son suficientes para los negocios del sector hotelero. Los hoteles o restaurantes que solo siguen listas de verificación de cumplimiento de la normativa siguen siendo vulnerables. La verdadera seguridad implica diseñar los pagos para reducir la exposición y los puntos débiles, y para dificultar la operación de los delincuentes en primer lugar, todo ello sin interrumpir la experiencia del cliente ni sacrificar la comodidad.

Así es como se ve en la práctica.

Oculta los datos de pago antes de que los delincuentes puedan robarlos

La tokenización reemplaza los datos confidenciales de pago por una cadena aleatoria de caracteres denominada "token". Si un atacante irrumpe en tu sistema, no encontrará ningún número de tarjeta de crédito, solo tokens inútiles. La tokenización garantiza que, incluso si los delincuentes irrumpen, no hay nada valioso que robar. Utiliza un proveedor de servicios de pago que ofrezca tokenización integrada.

Limita quién (y qué) toca los datos de pago

Muchas infracciones ocurren porque un atacante encuentra un punto débil en algún lugar que no sea el sistema central de procesamiento de pagos, tal vez un inicio de sesión del personal desprotegido, una integración antigua o un proveedor externo con una seguridad defectuosa. Las empresas del sector hotelero pueden reducir su riesgo de la siguiente manera:

• Limitar los permisos solo a lo que realmente necesita cada rol

• No permitir que su sistema POS comparta una red con la red Wi-Fi para invitados

• No almacenar los datos de pago en el mismo sistema que la información de fidelización de los clientes

• Examinar las medidas de seguridad de los proveedores externos

Diseña sistemas inteligentes para evitar errores de los empleados

Ya sea haciendo clic en un correo electrónico de phishing o cayendo en una llamada telefónica de piratas informáticos que se hacen pasar por soporte de TI, el error humano es a veces la forma más fácil de entrar para los atacantes. En lugar de solo capacitar a los empleados para que sean más cuidadosos, diseña sistemas que dificulten los errores en primer lugar:

• Utiliza la autenticación de dos factores (2FA) para los inicios de sesión de pagos. Incluso si le roban la contraseña a un empleado, la autenticación 2FA bloquea el acceso.

• Limita el acceso al correo electrónico en los sistemas POS. Si las computadoras de la recepción o las terminales de los restaurantes no pueden revisar el correo electrónico, los intentos de phishing se vuelven un problema menor.

Reemplaza el hardware obsoleto antes de que los delincuentes lo exploten

En el sector hotelero, el hardware es tan vulnerable como el software. Los hoteles y restaurantes dependen de las terminales de punto de venta, los lectores de tarjetas y los sistemas de tarjetas de acceso. Todos deben actualizarse continuamente. El hardware obsoleto hace que sea más fácil para los atacantes robar datos de tarjetas, instalar malware o escabullirse a través de un cifrado débil. Ten en cuenta lo siguiente:

• Actualiza las terminales POS a modelos con cifrado de extremo a extremo (E2EE) y soporte EMV (tarjeta con chip).

• Reemplaza los lectores de tarjetas o los puestos de check-in que no hayan tenido actualizaciones de firmware recientes.

• Acepta Tap to Pay y pagos mediante el móvil (como las carteras digitales) para reducir la dependencia de las tarjetas físicas, que son más fáciles de comprometer.