Empresas de hospitalidade armazenam, transmitem e acessam pagamentos constantemente, e cada uma dessas transações pode ser alvo de fraude. Os hotéis mantêm cartões de clientes cadastrados para upgrades de quarto, contas de frigobar e checkouts atrasados. Restaurantes processam milhares de cartões por dia, muitas vezes em terminais conectados em vários locais. Spas e resorts recebem depósitos com meses de antecedência. Essas transações criam oportunidades para criminosos que procuram copiar dados de cartões, interceptar transações ou acessar pontos fracos no sistema de reservas de uma empresa.

Quando acontece uma violação, ela traz prejuízos para a empresa, cria problemas de conformidade e prejudica a imagem da marca e a fidelidade do cliente. Uma empresa de hospitalidade dos EUA, por exemplo, fez um acordo de US$ 52 milhões em 2024 após violações de dados que afetaram mais de 300 milhões de clientes em todo o mundo.

Veja a seguir os riscos para empresas de hospitalidade e preveni-los antes que se tornem um problema, inclusive bloqueando dados de pagamento sem atrapalhar a experiência do hóspede.

Neste artigo:

• Por que a segurança de pagamentos é tão importante no setor de hospitalidade?
  
• Quais as maiores ameaças aos dados de pagamento de hospitalidade?
  
• Como podem proteger os sistemas de pagamento em hospitalidade?
  

Por que a segurança de pagamentos é tão importante no setor de hospitalidade?

O setor de serviços de hospitalidade enfrenta desafios específicos em segurança de pagamentos. Ao reservar um quarto, abrir uma conta num bar ou fazer checkout em um resort, cada transação faz parte da experiência do hóspede. Ao contrário do varejo ou do e-commerce, os pagamentos e hospitalidade podem estar vinculados a estadias longas, transações de alto valor e diferentes tipos de dados pessoais.

Veja aqui os fatores de segurança particularmente importantes para empresas de hospitalidade.

Janela de pagamento estendida

Quando o hóspede faz checkin num hotel, seu cartão permanece arquivado por dias (às vezes mais), coisa que poucos outros setores exigem. Isso cria uma janela mais longa para possíveis violações.

Os dados de pagamento são armazenadas em vários canais

Hotéis e resorts aceitam pagamentos presenciais com cartão na recepção, mas também aceitam depósitos online, processam cobranças incidentais durante a estadia, liquidam contas em aplicativos e gerenciam programas de recompensas que armazenam dados de cartão. Cada novo canal de pagamento é mais um ponto vulnerável a ataques.

Transações de alto valor aumentam o tamanho do alvo

Um restaurante que processa pedidos de US$ 10 geralmente não atrai o mesmo nível de fraudes de um hotel de luxo que processa reservas de US$ 5.000. Os golpistas vão atrás do dinheiro, e as empresas de hospitalidade, especialmente quando oferecem reservas premium, contas empresariais ou estadias prolongadas, são alvos lucrativos. Uma única violação pode expor um grande volume de dados de pagamento, às vezes em vários locais, se os sistemas não forem segmentados corretamente.

Os criminosos também podem atacar informações pessoais

A segurança de pagamentos na hotelaria vai além da proteção dos números de cartão. É preciso proteger todo o perfil do hóspede: nome, e-mail, telefone, endereço residencial, passaporte e, às vezes, até mesmo hábitos de viagem. Esse tipo de dado pessoal é uma mina de ouro para ladrões de identidade. Mesmo que não consigam usar um número de cartão de crédito roubado, ainda é possível vender os dados pessoais de um hóspede para fraudes ou golpes de phishing.

É difícil recuperar danos à reputação

A hospitalidade depende da confiança. Ficar em um hotel ou resort e interagir com a equipe cria uma experiência mais pessoal do que uma compra online. Uma violação pode abalar a confiança do cliente de uma maneira que descontos e campanhas de relações públicas nem sempre conseguem consertar.

Quais as maiores ameaças aos dados de pagamento de hospitalidade?

Ao contrário do e-commerce, em que os pagamentos são majoritariamente online e automatizados, a hotelaria usa uma combinação de interação humana, tecnologias tradicionais e retenções de longa duração. Esses elementos criam vulnerabilidades para os criminosos. Veja algumas táticas comuns usadas por golpistas para acessar empresas de hospitalidade.

Violação de sistemas de reservas externos

Mesmo que um hotel bloqueie seu próprio sistema de pagamento, o sistema geralmente está conectado a plataformas externas para reservas, serviços de spa, refeições ou solicitações de concierge. Toda integração pode ser uma vulnerabilidade. Os invasores podem encontrar um ponto de entrada num fornecedor menor, com segurança mais fraca.

Manipulação de pessoal

A hotelaria tem uma alta rotatividade de funcionários, funcionários temporários e uma força de trabalho que pode estar mais treinada em atendimento ao cliente do que em segurança. Os golpistas podem explorar isso com engenharia social, se passando por gerentes, suporte de TI ou até mesmo hóspedes para enganar os funcionários para que entreguem credenciais de login ou contornem os protocolos de segurança.

Fraude com informação privilegiada

Em restaurantes, bares e hotéis, os funcionários às vezes têm acesso direto aos terminais de pagamento. Isso significa que um funcionário mal-intencionado pode acessar dados de pagamento de clientes e operar um esquema de fraudes mais sério, roubando milhares de dados de clientes de uma só vez.

Ataques a pontos de venda (POS)

Muitas empresas de hospitalidade usam sistemas de POS conectados em vários locais. Se o malware infectar um terminal, ele pode se espalhar rapidamente para todos os outros sistemas POS na rede. Esses ataques são particularmente perigosos porque não roubam dados apenas em um lugar; eles transformam cada ponto de checkout em um possível vazamento. Em 2015, por exemplo, uma empresa de hospitalidade dos EUA descobriu que seu sistema de processamento de pagamentos estava infectado com malware para roubar informações de cartão de crédito, o que pode ter afetado centenas de seus hotéis.

Como as empresas de hospitalidade podem proteger os sistemas de pagamento?

Os conselhos usuais para melhorar a segurança dos pagamentos, como criptografar transações ou manter a conformidade com o PCI DSS (Payment Card Industry Data Security Standard), são importantes, mas não são suficientes para empresas de hospitalidade. Hotéis ou restaurantes que seguem apenas as listas de verificação de conformidade ainda estão vulneráveis. Segurança real significa projetar pagamentos para reduzir a exposição e os pontos fracos, além de dificultar a operação dos criminosos, tudo isso sem prejudicar a experiência do cliente ou sacrificar a conveniência.

Veja como isso funciona na prática.

Ocultar dados de pagamento antes que criminosos possam roubá-los

A tokenização substitui dados de pagamento sigilosos por uma sequência aleatória de caracteres chamada "token". Se um invasor violar seu sistema, ele não encontrará nenhum número de cartão de crédito, apenas tokens inúteis. A tokenização garante que, mesmo que os criminosos invadam, nenhum dado importante seja roubado. Use um provedor de pagamentos que ofereça tokenização integrada.

Limitar o contato de pessoas e sistemas com dados de pagamento

Muitas violações acontecem porque um invasor encontra um ponto fraco fora do sistema principal de processamento de pagamentos — talvez um login de equipe desprotegido, uma integração antiga ou um fornecedor terceirizado com segurança falha. Para reduzir riscos, empresas de hospitalidade podem:

• Limitar as permissões apenas ao que cada função realmente precisa

• Não permitir que seu sistema de POS use a mesma rede de Wi-Fi que os hóspedes

• Não armazenar os dados de pagamento no mesmo sistema que as informações de fidelização do cliente

• Verificar medidas de segurança de fornecedores terceirizados

Sistemas inteligentes para evitar erros dos funcionários

Sejam um clique num e-mail de phishing ou um telefonema de hackers se passando por suporte de TI, o erro humano pode ser o caminho mais fácil para os invasores. Não basta treinar os funcionários para serem mais cuidadosos, é preciso que os sistemas dificultem erros:

• Use autenticação de dois fatores (2FA) para logins de pagamento. Mesmo que a senha do funcionário seja roubada, a 2FA bloqueia o acesso.

• Limite o acesso a e-mails em sistemas POS. Se os computadores da recepção ou os terminais do restaurante não tiverem acesso a e-mails, as tentativas de phishing ficam mais difíceis.

Substitua hardwares desatualizados antes que os criminosos aproveitem

Na hotelaria, o hardware é tão vulnerável quanto o software. Hotéis e restaurantes usam terminais de POS, máquinas de cartão e sistemas de cartões-chave, que precisam ser atualizados continuamente. Sistemas desatualizados facilitam cópias de dados de cartão, instalação de malware ou violações em caso de criptografia fraca. Considere o seguinte:

• Upgrade de terminais POS para modelos com suporte a criptografia de ponta a ponta (E2EE) e EMV (chip card).

• Substituição de máquinas de cartão ou quiosques de checkin sem atualizações recentes de firmware.

• Pagamentos com Tap to Pay e em dispositivos móveis (como carteiras digitais) para reduzir o uso de cartões físicos, que são mais fáceis de comprometer.