Företag inom hotell- och restaurangbranschen sparar, överför och återbetalar betalningar hela tiden – och var och en av dessa transaktioner är ett potentiellt mål för bedrägerier. Hotell sparar kundkort för rumsuppgraderingar, notor för minibarer och sen utcheckning. Restauranger hanterar tusentals kontaktlösa betalningar om dagen, ofta på terminaler som är anslutna på flera platser. Spa- och hotellanläggningar tar emot förskottsbetalningar flera månader i förväg. Dessa transaktioner skapar möjligheter för brottslingar som vill skimma kortuppgifter, fånga upp transaktioner eller utnyttja svaga punkter i ett företags bokningssystem.

När ett intrång inträffar kostar det företaget pengar, skapar efterlevnadsproblem och skadar varumärkesimage och kundlojalitet. Ett amerikanskt hotellföretag gick till exempel med på att betala 52 miljoner dollar i en förlikning 2024 till följd av ett dataintrång som påverkade mer än 300 miljoner kunder över hela världen.

Nedan förklarar vi de risker som hotell- och restaurangbranschen står inför och hur man hanterar dem innan de blir ett problem – inklusive hur man skyddar betalningsuppgifter utan att gästupplevelsen blir mindre effektiv.

Vad innehåller den här artikeln?

• Varför är betalningssäkerhet så viktigt för hotell- och restaurangbranschen?
  
• Vilka är de största hoten för betalningsuppgifter i hotell- och restaurangbranschen?
  
• Hur kan företag i hotell- och restaurangbranschen skydda sina betalningssystem?
  

Varför är betalningssäkerhet så viktigt för hotell- och restaurangbranschen?

Hotell- och restaurangbranschen står inför unika utmaningar när det gäller betalningssäkerhet. Från att boka ett rum och öppna en barnota, till att checka ut från ett hotell, varje transaktion utgör en del av gästupplevelsen. Till skillnad från detaljhandeln eller e-handeln är betalningar inom hotell- och restaurangbranschen ofta knutna till längre vistelser, transaktioner med högt värde och olika typer av personuppgifter.

Därför är betalningssäkerhet en särskilt viktig faktor för företag i hotell- och restaurangbranschen.

Ett längre betalningsfönster

När en gäst checkar in på ett hotell sparas dennes kort i flera dagar (ibland längre), vilket få andra branscher kräver. Detta skapar ett längre fönster för potentiella överträdelser.

Betalningsinformation lagras i flera kanaler

Hotell tar emot kortbetalningar i receptionen, men de tar även emot förskottsbetalningar online, behandlar oförutsedda avgifter under en vistelse, tar emot betalningar via appar och hanterar bonusprogram som lagrar kortdata. Varje ytterligare betalningskanal är ännu en potentiellt sårbar yta för attacker.

Transaktioner med högt värde skapar ett större mål

En snabbmatsrestaurang som behandlar beställningar på 10 USD drar vanligtvis inte till sig samma nivå av bedrägerier som ett lyxhotell som behandlar bokningar på 5 000 USD. Cyberbrottslingar finns där pengarna finns, och företag i hotell- och restaurangbranschen – särskilt de som hanterar premiumbokningar, företagskonton eller längre vistelser – är lukrativa måltavlor. Ett enda intrång kan exponera en stor mängd betalningsdata samtidigt, ibland på flera olika platser om systemen inte är korrekt segmenterade.

Brottslingar kan också vara ute efter personuppgifter

Betalningssäkerhet i hotell- och restaurangbranschen handlar om mer än att skydda kortnummer. Det inkluderar att skydda gästens uppgifter: namn, e-post, telefonnummer, hemadress, passuppgifter och ibland till och med resvanor. Den här typen av personuppgifter är en guldgruva för den som vill stjäla någons identitet. Även om angripare inte kan använda ett stulet kreditkortsnummer kan de fortfarande sälja en gästs personuppgifter för bedrägerier eller nätfiske.

Skadat anseende är svårt att återhämta sig från

Branschen bygger på förtroende. Att bo på ett hotell och interagera med de anställda skapar en mer personlig kundupplevelse än att köpa något online. Ett intrång kan rubba kundernas förtroende på ett sätt som rabatter och PR-kampanjer inte alltid kan åtgärda.

Vilka är de största hoten för betalningsuppgifter i hotell- och restaurangbranschen?

Till skillnad från e-handeln – där betalningarna till största delen sker online och är automatiserade – drivs hotell- och restaurangbranschen av en blandning av mänsklig interaktion, föråldrad teknik och reserverade belopp. Dessa element skapar sårbarheter som brottslingar kan utnyttja. Här är några av de vanligaste taktikerna som cyberbrottslingar använder för att få tillgång till hotell- och restaurangföretag.

Intrång i bokningssystem hos tredje part

Även om ett hotell skyddar sitt eget betalningssystem är systemet ofta anslutet till tredjepartsplattformar för bokningar, spatjänster, måltider eller conciergeförfrågningar. Varje integration är en potentiell svag länk. Angripare kan upptäcka att den enklaste ingångspunkten är en mindre, förbisedd leverantör med svagare säkerhet.

Manipulation av personal

Hotell- och restaurangbranschen har en hög personalomsättning, säsongsbetonad bemanning och en arbetsstyrka som kanske utbildas mer när det kommer till kundservice än säkerhet. Cyberbrottslingar kan utnyttja detta genom social manipulation – genom att utge sig för att vara hotellchefer, IT-support eller till och med gäster för att lura anställda att lämna ut inloggningsuppgifter eller kringgå säkerhetsprotokoll.

Insiderbedrägeri

I restauranger, barer och hotell har anställda ibland direkt tillgång till betalterminaler. Det innebär att en intern person med onda avsikter kan lägga vantarna på kundernas betalningsuppgifter och genomföra ett allvarligt bedrägeri och stjäla uppgifter från tusentals kunder på en och samma gång.

Attacker mot POS-system

Många företag inom hotell- och restaurangbranschen förlitar sig på POS-system som är anslutna till flera platser. Om skadlig programvara infekterar en terminal kan den snabbt spridas till alla andra POS-system i nätverket. Dessa attacker är särskilt farliga eftersom de inte bara stjäl uppgifter på ett ställe – de förvandlar varje kassalösning till en potentiell läcka. År 2015 upptäckte till exempel ett amerikanskt hotellföretag att dess betalningssystem var infekterat med skadlig kod för att stjäla kreditkortsinformation, vilket kan ha påverkat hundratals av dess hotell.

Hur kan företag i hotell- och restaurangbranschen skydda sina betalningssystem?

De vanliga råden för att förbättra betalningssäkerheten – som att kryptera transaktioner eller upprätthålla efterlevnad av Payment Card Industry Data Security Standard (PCI DSS) – är viktiga, men det räcker inte för företag i hotell- och restaurangbranschen. Hotell eller restauranger som bara följer checklistor för efterlevnad är fortfarande sårbara. Verklig säkerhet innebär att utforma betalningar för att minska exponering och svaga punkter, och för att göra det svårare för brottslingar att överhuvudtaget vara verksamma – allt detta utan att störa kundupplevelsen eller göra avkall på bekvämligheten.

Så här ser det ut i praktiken.

Dölj betalningsuppgifter innan brottslingar kan stjäla dem

Tokenisering ersätter känsliga betalningsuppgifter med en slumpmässig teckensträng som kallas "token". Om en angripare bryter sig in i ditt system kommer de inte att hitta några kreditkortsnummer – bara värdelösa tokens. Tokenisering säkerställer att även om brottslingar bryter sig in så finns det inget värdefullt för dem att stjäla. Använd en betalleverantör som erbjuder inbyggd tokenisering.

Begränsa vem (och vad) som har tillgång till betalningsuppgifter

Många intrång sker på grund av att en angripare hittar en svag punkt någon annanstans än i kärnsystemet för betalningshantering – kanske en oskyddad personalinloggning, en gammal integration eller en tredjepartsleverantör med bristfällig säkerhet. Företag inom hotell- och restaurangbranschen kan minska sin risk genom att:

• Begränsa behörigheter till endast vad varje roll faktiskt behöver

• Undvika att använda samma wifi-nätverk för både POS-system och gäster

• Undvika att lagra betalningsuppgifter i samma system som kundlojalitetsinformation

• Granska tredjepartsleverantörers säkerhetsåtgärder

Utforma smarta system för att undvika fel från medarbetarna

Oavsett om det handlar om att klicka på ett e-postmeddelande med försök till nätfiske eller att falla för ett telefonsamtal från hackare som utger sig för att vara IT-support, är mänskliga fel ibland den enklaste vägen in för angripare. Istället för att bara utbilda anställda att vara mer försiktiga ska man utforma system som gör det svårare att misstag inträffar:

• Använd tvåfaktorsautentisering (2FA) för betalningsinloggningar. Även om en anställds lösenord blir stulet blockerar 2FA åtkomsten.

• Begränsa e-poståtkomst i POS-system. Om receptionsdatorer eller restaurangterminaler inte kan kontrollera e-post blir nätfiskeförsök ett mindre problem.

Byt ut föråldrad hårdvara innan brottslingar utnyttjar det

Inom hotell- och restaurangbranschen är hårdvara lika sårbar som mjukvara. Hotell och restauranger förlitar sig på POS-terminaler, kortterminaler och nyckelkortssystem – som måste uppdateras kontinuerligt. Föråldrad hårdvara gör det lättare för angripare att skimma kortdata, installera skadlig kod eller slinka igenom svag kryptering. Tänk på följande:

• Uppgradera POS-terminaler till modeller som har stöd för end-to-end-kryptering (E2EE) och EMV (chipkort).

• Byt ut kortterminaler eller incheckningsautomater som inte har uppdaterat den inbyggda programvaran nyligen.

• Ta emot Tap to Pay och mobila betalningar (t.ex. digitala plånböcker) för att minska beroendet av fysiska kort som är lättare att kompromettera.