Horecabedrijven bewaren, verzenden en controleren constant betalingen, en elk van deze transacties is een potentieel doelwit voor fraude. Hotels bewaren klantkaarten voor kamerupgrades, minibar-tabbladen en laat uitchecken. Restaurants verwerken duizenden swipes per dag, vaak op terminals die op meerdere locaties met elkaar verbonden zijn. Spa's en resorts accepteren maanden van tevoren een aanbetaling. Deze transacties creëren kansen voor criminelen die kaartgegevens willen afromen, transacties willen onderscheppen of door zwakke punten in het reserveringssysteem van een bedrijf willen glippen.

Wanneer er een inbreuk plaatsvindt, kost dit het bedrijf geld, veroorzaakt het nalevingsproblemen en schaadt het het merkimago en de klantloyaliteit. Zo heeft een Amerikaans horecabedrijf in 2024 ingestemd met het betalen van 52 miljoen dollar in een schikking naar aanleiding van datalekken waarbij wereldwijd meer dan 300 miljoen klanten het slachtoffer waren.

Hieronder leggen we uit welke risico's horecabedrijven lopen en hoe je ermee om kunt gaan voordat ze een probleem worden, inclusief hoe je betaalgegevens kunt vergrendelen zonder de gastervaring te vertragen.

Wat staat er in dit artikel?

• Waarom is betalingsbeveiliging zo belangrijk voor de horeca?
  
• Wat zijn de grootste bedreigingen voor betalingsgegevens voor horeca?
  
• Hoe kunnen horecabedrijven betaalsystemen beveiligen?
  

Waarom is de beveiliging van betalingen zo belangrijk voor de horeca?

De horeca staat voor unieke uitdagingen op het gebied van betalingsbeveiliging. Van het boeken van een kamer tot het openen van een barrekening tot het uitchecken van een resort, elke transactie maakt deel uit van de gastervaring. Anders dan in de detailhandel of e-commerce zijn betalingen voor horeca vaak gekoppeld aan lange verblijven, transacties met een hoge waarde en verschillende soorten persoonsgegevens.

Dit is waarom betalingsbeveiliging zo belangrijk is voor horecabedrijven.

Een langere betaalperiode

Wanneer een gast incheckt in een hotel, blijft zijn kaart dagen (soms langer) in het bestand staan, wat maar weinig andere industrieën vereisen. Dit creëert een langer venster voor mogelijke inbreuken.

Betaalinformatie wordt opgeslagen in meerdere kanalen

Hotels en resorts accepteren fysieke kaartbetalingen bij de receptie, maar ze accepteren ook online aanbetalingen, verwerken incidentele kosten tijdens een verblijf, betalen rekeningen via apps en beheren beloningsprogramma's die kaartgegevens opslaan. Elk extra betaalkanaal is een ander potentieel kwetsbaar oppervlak voor aanvallen.

Transacties met een hoge waarde zorgen voor een groter doel

Een fastfoodrestaurant dat bestellingen van $ 10 verwerkt, trekt meestal niet hetzelfde niveau van fraude als een luxe hotel dat $ 5,000 reserveringen verwerkt. Cybercriminelen gaan waar het geld is, en horecabedrijven, vooral bedrijven die premium boekingen, zakelijke accounts of langere verblijven afhandelen, zijn lucratieve doelwitten. Bij één inbreuk kan een grote hoeveelheid betaalgegevens in één keer worden blootgelegd, soms over meerdere locaties als systemen niet goed zijn gesegmenteerd.

Criminelen kunnen het ook op persoonlijke informatie gemunt hebben

Beveiliging van betalingen in de horeca gaat verder dan het beschermen van creditcardnummers. Het omvat het bewaken van het volledige gastprofiel: naam, e-mailadres, telefoonnummer, huisadres, paspoortgegevens en soms zelfs reisgewoonten. Dit soort persoonsgegevens is een goudmijn voor identiteitsdieven. Zelfs als aanvallers geen gestolen creditcardnummer kunnen gebruiken, kunnen ze nog steeds de persoonlijke gegevens van een gast verkopen voor fraude of phishing.

Reputatieschade is moeilijk te herstellen

Gastvrijheid is gebaseerd op vertrouwen. Een verblijf in een hotel of resort en persoonlijke interactie met het personeel zorgt voor een persoonlijkere klantervaring dan iets online kopen. Een inbreuk kan het vertrouwen van de klant doen wankelen op een manier die kortingen en PR-campagnes niet altijd kunnen oplossen.

Wat zijn de grootste bedreigingen voor betalingsgegevens voor horecabedrijven?

In tegenstelling tot e-commerce, waar betalingen meestal online en geautomatiseerd verlopen, draait de horeca op een mix van menselijke interactie, verouderde technologie en langdurige betalingstermijnen. Deze elementen creëren kwetsbaarheden die criminelen kunnen misbruiken. Hier zijn enkele van de meest voorkomende tactieken die cybercriminelen gebruiken om toegang te krijgen tot horecabedrijven.

Inbreuken op het boekingssysteem van derden

Zelfs als een hotel zijn eigen betalingssysteem vergrendelt, is het systeem vaak verbonden met platforms van derden voor reserveringen, spadiensten, diners of conciërgeverzoeken. Elke integratie is een potentiële zwakke schakel. Aanvallers kunnen merken dat het gemakkelijkste toegangspunt een kleinere, over het hoofd geziene leverancier is met een zwakkere beveiliging.

Manipulatie van personeel

De horeca heeft een hoog personeelsverloop, seizoenspersoneel en een personeelsbestand dat mogelijk meer is opgeleid op het gebied van klantenservice dan op het gebied van beveiliging. Cybercriminelen kunnen hier misbruik van maken door middel van social engineering: ze doen zich voor als hotelmanagers, IT-ondersteuning of zelfs gasten om werknemers te verleiden inloggegevens te overhandigen of beveiligingsprotocollen te omzeilen.

Fraude met voorkennis

In restaurants, bars en hotels hebben werknemers soms directe toegang tot betaalterminals. Dat betekent dat een insider met slechte bedoelingen betalingsgegevens van klanten in handen kan krijgen en een ernstiger fraudeplan kan uitvoeren, waarbij de gegevens van duizenden klanten tegelijk worden gestolen.

Aanvallen op verkooppunten (POS

Veel horecaondernemingen werken met POS systemen die op meerdere locaties met elkaar verbonden zijn. Als malware één terminal infecteert, kan deze zich snel verspreiden naar elk ander POS systeem op het netwerk. Deze aanvallen zijn bijzonder gevaarlijk omdat ze niet alleen gegevens op één plek stelen, maar elk afrekenpunt in een potentieel lek veranderen. In 2015 ontdekte een Amerikaans horecabedrijf bijvoorbeeld dat zijn betalingsverwerkingssysteem was geïnfecteerd met malware voor het stelen van creditcardgegevens, wat mogelijk honderden van zijn hotels had getroffen.

Hoe kunnen horecabedrijven betaalsystemen beveiligen?

Het gebruikelijke advies voor het verbeteren van de betalingsbeveiliging, zoals het versleutelen van transacties of het handhaven van de PCI DSS-naleving (Payment Card Industry Data Security Standard), is belangrijk, maar het is niet genoeg voor horecabedrijven. Hotels of restaurants die alleen compliance-checklists volgen, zijn nog steeds kwetsbaar. Echte beveiliging betekent dat je betalingen zo ontwerpt dat de blootstelling en zwakke punten worden beperkt en dat het voor criminelen moeilijker wordt om überhaupt te opereren, en dat alles zonder dat dit ten koste gaat van de klantervaring of het verlies van gebruiksgemak.

Zo ziet dat er in de praktijk uit.

Verberg betaalgegevens voordat criminelen ze kunnen stelen

Tokenisatie worden gevoelige betaalgegevens vervangen door een willekeurige tekenreeks die 'token' wordt genoemd. Als een aanvaller je systeem binnendringt, vindt hij geen creditcardnummers, alleen nutteloze tokens. Tokenisatie zorgt ervoor dat zelfs als criminelen inbreken, er niets waardevols voor hen is om te stelen. Gebruik een betaaldienstverlener die geïntegreerde tokenisatie biedt.

Beperk wie (en wat) betalingsgegevens aanraakt

Veel inbreuken vinden plaats omdat een aanvaller ergens anders een zwak punt vindt dan in het primaire betalingsverwerkingssysteem, zoals een onbeveiligde personeelslogin, een oude integratie of een externe leverancier met gebrekkige beveiliging. Horecabedrijven kunnen hun risico verminderen door:

• Machtigingen beperken tot alleen wat elke rol daadwerkelijk nodig heeft

• Hun POS systeem geen netwerk laten delen met wifi voor gasten

• Het niet opslaan van betalingsgegevens in hetzelfde systeem als klantloyaliteitsinformatie

• Het doorlichten van de beveiligingsmaatregelen van externe leveranciers

Ontwerp slimme systemen om fouten van medewerkers te voorkomen

Of het nu gaat om het klikken op een phishing-e-mail of het vangen van een telefoontje van hackers die zich voordoen als IT-ondersteuning, menselijke fouten zijn soms de gemakkelijkste manier voor aanvallers. In plaats van alleen werknemers te trainen om voorzichtiger te zijn, ontwerp je systemen die het moeilijker maken om fouten te maken:

• Gebruik tweefactorauthenticatie (2FA) voor betalingsaanmeldingen. Zelfs als het wachtwoord van een werknemer wordt gestolen, blokkeert 2FA de toegang.

• Beperk e-mailtoegang op POS systemen. Als receptiecomputers of restaurantterminals hun e-mail niet kunnen checken, worden phishing-pogingen minder een probleem.

Vervang verouderde hardware voordat criminelen er misbruik van maken

In de horeca is hardware net zo kwetsbaar als software. Hotels en restaurants zijn afhankelijk van POS terminals, kaartlezers en sleutelkaartsystemen, die allemaal continu moeten worden bijgewerkt. Verouderde hardware maakt het voor aanvallers gemakkelijker om kaartgegevens af te schuimen, malware te installeren of door zwakke encryptie heen te glippen. Overweeg het volgende:

• Upgrade POS terminals naar modellen met ondersteuning voor end-to-end-encryptie (E2EE) en EMV (chipkaart).

• Vervang kaartlezers of incheckkiosken die geen recente firmware-updates hebben gehad.

• Accepteer Tap to Pay en mobiele betalingen (zoals digitale wallets) om minder afhankelijk te zijn van fysieke kaarten, die gemakkelijker te kraken zijn.