- 84% das propriedades hoteleiras sofreram pelo menos um incidente cibernético no ano passado
- Os custos médios de violação em hospitalidade agora ultrapassam US$ 4 milhões por incidente
- 82% das invasões detectadas usam credenciais roubadas em vez de malware
- 55% das propriedades hoteleiras sofreram uma interrupção causada por um fornecedor ou parceiro externo
- 48% dos líderes de TI de hotéis duvidam que a equipe da linha de frente consiga identificar phishing gerado por IA
- Cinco violações confirmadas de 2025 e 2026 mostram como os padrões de ataque se traduzem em incidentes reais
Os números por trás do cenário de ameaças de 2026
Entre as propriedades hoteleiras pesquisadas na pesquisa de segurança hoteleira de 2025:
- 84% experimentaram pelo menos um incidente cibernético durante o ano
- 82% registraram uma intrusão bem-sucedida, sendo a maioria alvo de ataques mais de uma vez por temporada
- 90% dos líderes de TI e segurança de hotéis norte-americanos relataram pelo menos uma tentativa de ataque
- 58% das propriedades enfrentaram cinco ou mais ataques em uma única alta temporada
- 44% das propriedades violadas sofreram 12 ou mais horas de inatividade crítica do sistema
O quadro financeiro corresponde aos dados de frequência. Os custos médios de violação empresarial em hotelaria excedem US$ 4 milhões por incidente. Para propriedades atingidas por ransomware que visam operações e não apenas dados, o número aumenta ainda mais quando os sistemas de check-in, plataformas de reserva e entrada sem chave ficam offline ao mesmo tempo durante um período de alta ocupação.
Como os ataques mudaram
Credenciais sobre malware
82% das detecções de segurança no setor de hospitalidade agora não envolvem malware. Os invasores obtêm credenciais de funcionários vazadas, reutilizadas ou obtidas por phishing e fazem login em plataformas PMS, integrações de reservas e redes de back-office. Eles alcançam sistemas de alto valor sem acionar as ferramentas antivírus projetadas para detectar ameaças baseadas em arquivos.
Phishing gerado por IA em grande escala
Quase metade dos líderes de TI e segurança de hotéis dizem duvidar que sua equipe de linha de frente consiga identificar phishing avançado gerado por IA ou engenharia social baseada em deepfake. A IA permite que os invasores produzam correspondências de reservas, confirmações de reservas e personificações de gerentes convincentes em um volume e qualidade que a análise humana tem dificuldade em capturar. A equipe da recepção que processa centenas de comunicações de hóspedes por turno não pode selecionar manualmente cada uma delas para geração de IA.
Interrupção operacional como objetivo
Os grupos de ransomware como serviço passaram da criptografia de dados apenas para a sabotagem operacional. O objetivo é interromper as reservas, desativar o check-in e bloquear os sistemas de entrada sem chave até que o pagamento resolva a interrupção. Para um hotel que funciona com alta ocupação durante a alta temporada, uma interrupção de 12 horas causa danos agravados à receita e à experiência do hóspede antes do início de qualquer negociação de resgate. Muitos grupos também publicam dados roubados em sites de vazamento, independentemente de o resgate ser pago, eliminando o pagamento como forma de conter as consequências da violação.
A infraestrutura que amplia a superfície de ataque
Os hotéis conectam plataformas PMS, terminais POS, integrações de reservas, Wi-Fi de hóspedes, dispositivos de quartos inteligentes e sistemas de fornecedores em uma única rede operacional. Cada categoria abaixo é um ponto de entrada confirmado ou caminho de movimento lateral.
Violações confirmadas, 2025 e 2026
Os invasores acessaram dados de reservas de clientes por meio de contas de hotéis parceiros comprometidas, conectadas ao sistema central de reservas de uma importante plataforma global de viagens. Os dados expostos incluíam nomes, endereços de e-mail, números de telefone e informações detalhadas sobre itinerários. Os invasores converteram esses dados em poucas horas em campanhas direcionadas de phishing e SMS, entrando em contato diretamente com os hóspedes com instruções para atualizar os detalhes de pagamento por meio de páginas fraudulentas.
A empresa controladora da plataforma recebeu uma multa regulatória de € 475.000 por relatar a violação 22 dias após a confirmação da exposição. O incidente ilustra o modelo de exploração da confiança: os invasores usaram dados reais de reservas para tornar a fraude convincente.
Um grande grupo hoteleiro que gerencia várias marcas revelou que os invasores mantiveram acesso não detectado a um aplicativo Web principal durante seis meses antes da descoberta. Os dados expostos incluíam números de reserva, nomes, endereços de e-mail, números de telefone, endereços residenciais, datas de estadia e solicitações específicas de hóspedes. Os detalhes do cartão de pagamento não estavam no escopo.
Os seis meses de permanência deram aos invasores profundidade suficiente sobre os perfis de contato dos hóspedes para executar fraudes direcionadas contra hóspedes frequentes muito depois de o acesso ter terminado. Hotéis sem monitoramento da dark web e detecção de anomalias nos registros de acesso a aplicativos dão aos invasores meses de acesso não detectado.
Uma rede de hotéis de apartamentos que opera em vários países sofreu uma violação originada em uma vulnerabilidade no sistema de banco de dados de um provedor de serviços terceirizado. Os registros expostos cobriam dados históricos de clientes, incluindo nomes, informações de contato e datas de nascimento. O código do fornecedor e a infraestrutura compartilhada criaram o ponto de entrada, expondo os registros dos clientes em todo o histórico da cadeia.
Uma empresa de gestão hoteleira que supervisionava um portfólio de propriedades de resort de luxo e de marca sofreu uma violação de rede que afetou ativos internos, documentação de funcionários e dados de hóspedes. As notificações de violação de dados foram enviadas aos indivíduos afetados até o início de 2026, acompanhadas de monitoramento de identidade gratuito para limitar a exposição a fraudes posteriores.
Pesquisadores de segurança identificaram campanhas de phishing coordenadas e aprimoradas por IA, direcionadas aos funcionários da recepção de hotéis em propriedades europeias e latino-americanas. Os invasores enviaram solicitações falsas de cancelamento de reserva aos funcionários. Quando os funcionários abriram os anexos, uma Tela Azul da Morte fabricada e realista apareceu, alegando um erro fatal do sistema. A tela orientou a equipe a executar uma ferramenta de reparo que implantava código de roubo de informações diretamente na infraestrutura do PDV e do sistema de gerenciamento de propriedades.
A campanha explorou duas vulnerabilidades simultaneamente: a familiaridade do pessoal da recepção com as comunicações de reservas e o seu reflexo para resolver rapidamente erros aparentes do sistema. O treinamento padrão de conscientização sobre phishing não cobre telas de erro fabricadas nem solicitações de reserva falsificadas.
Grupos de ameaças que visam o setor hoteleiro
Alguns grupos de ciberataque operam com foco específico no setor hoteleiro. No contexto do Brasil e da América Latina, três grupos têm impacto documentado em operações de hospedagem.
RevengeHotels (TA558 / Odyssey Spider)
O grupo RevengeHotels, rastreado também como TA558 ou Odyssey Spider, concentra suas operações em hotéis do Brasil, Argentina, Chile, México e Costa Rica. A abordagem central é engenharia social direcionada: o grupo envia solicitações falsas de reservas ou pedidos de orçamento governamentais para funcionários de recepção e centrais de reservas, com o objetivo de comprometer sistemas de gestão de propriedades (PMS).
Em vez de criptografar sistemas e exigir resgate, o RevengeHotels rouba dados de cartão de crédito de filas de reservas e vende acesso remoto a terminais comprometidos em fóruns da dark web. O grupo desenvolveu ferramentas de inteligência artificial para gerar iscas de phishing mais convincentes e implantar trojans de acesso remoto como o VenomRAT para manter presença persistente. Recepcionistas e agentes de reservas concentram o maior volume de comunicações externas do hotel e, por isso, são os alvos primários das campanhas.
Poco RAT e Dark Caracal
Poco RAT e Dark Caracal são operações externas ao roubo de credenciais por meio de trojans, com atuação documentada em setores hoteleiros e de mineração na América Latina. O objetivo é comprometer contas de funcionários para acesso prolongado e silencioso a sistemas internos.
Ransomware às 3 da manhã
O grupo 3AM opera como ransomware convencional, com forte concentração em entidades latino-americanas. Nos ciclos de ataque mais recentes, expandiu seu escopo para incluir operações de hospitalidade e entretenimento, combinando criptografia de arquivos com publicação de dados em sites de vazamento para aumentar a pressão sobre as vítimas.
Onde fica a lacuna de defesa
A lacuna entre o que os hotéis implantam e o que o atual nível de ameaça exige é mensurável. Cerca de 70% dos operadores hoteleiros utilizam firewalls e ferramentas antivírus padrão. Menos da metade executa varredura ativa de vulnerabilidades, monitoramento da dark web ou testes de penetração.
A maioria dos hotéis possui controles de perímetro que impedem as ameaças que a maioria dos invasores já superou. Intrusões baseadas em credenciais, comprometimento do fornecedor e phishing gerado por IA operam no espaço entre as ferramentas básicas de perímetro e o monitoramento mais ativo que os detectaria.
Três controles aparecem com mais frequência como ausentes quando as violações de hospitalidade são analisadas posteriormente:
- Verificação ativa de vulnerabilidades em integrações de PMS, POS e plataformas de reserva, executadas em uma frequência que corresponda à taxa de alteração desses sistemas
- Monitoramento da dark web para identificar credenciais de funcionários comprometidas antes que invasores as utilizem para fazer login
- Treinamento em engenharia social calibrado para conteúdo gerado por IA, não para modelos genéricos de phishing de cinco anos atrás
Por que a lacuna persiste
Cinco fatores estruturais mantêm a maioria das propriedades hoteleiras abaixo do limite exigido pela exposição às ameaças.
Pessoal
A hotelaria compete com os serviços financeiros, a tecnologia e os cuidados de saúde pelo mesmo grupo de profissionais de segurança, com orçamentos salariais mais baixos. 80% dos hotéis em pesquisas recentes do setor identificam o recrutamento e a retenção de pessoal qualificado de TI e segurança cibernética como um problema persistente. O resultado é que as responsabilidades de segurança recaem sobre os generalistas de TI, os gerentes de recepção ou nenhuma função de segurança dedicada.
Orçamento
70% dos funcionários de TI da hotelaria citam o orçamento insuficiente como a principal barreira para melhorar a sua postura de segurança. O investimento em segurança na hotelaria tende a acompanhar os incidentes em vez de os antecipar. Um hotel que não tenha sido violado recentemente direciona o capital para a tecnologia voltada para os hóspedes antes do fortalecimento da infraestrutura. Após uma violação, esse padrão se inverte e o gasto necessário é muito maior e ocorre sob pressão.
Sistemas legados
70% dos hotéis executam pelo menos um sistema legado (software de gerenciamento de propriedade, plataformas POS ou infraestrutura de rede) que os fornecedores não corrigem mais ativamente. Esses sistemas representam superfície de ataque permanente. Substituí-los exige capital, tempo de inatividade e risco de migração que a maioria das propriedades adia ano após ano. Os invasores têm como alvo vulnerabilidades conhecidas em softwares de hotelaria amplamente utilizados porque o ciclo de correção é lento.
Exposição do programa de fidelidade
As contas de fidelidade e recompensas possuem valor monetário real: os pontos são convertidos em voos, estadias e cartões-presente. Eles também armazenam dados pessoais e de viagens ao longo de anos de histórico de hóspedes. Isso os torna um alvo de phishing persistente, separado do PMS. Os ataques de preenchimento de credenciais contra programas de fidelidade são executados continuamente, usando listas de credenciais violadas de outros setores. Os hotéis que tratam a segurança da fidelidade como uma preocupação de marketing e não como uma preocupação de segurança criam exposição que suas equipes de TI não estão preparadas para monitorar.
Lacunas no contrato do fornecedor
A maioria dos acordos com fornecedores de hotéis não inclui obrigações significativas de segurança cibernética, direitos de auditoria e prazos de notificação de violação. No entanto, o acesso dos fornecedores ao PMS, às plataformas de reserva e aos sistemas de fidelização é um ponto de entrada confirmado em vários incidentes de 2025 e 2026. Os hotéis que aceitam garantias de fornecedores sem força contratual não têm como verificar a postura de segurança dos sistemas através dos quais os dados dos seus hóspedes fluem.
O que 2026 acrescenta ao perfil de ameaça
A engenharia social Deepfake passou do conceito ao uso operacional. Os invasores geram voz ou vídeo convincentes, fazendo-se passar por executivos de hotéis ou suporte de TI para direcionar a equipe a ações que instalam malware ou entregam credenciais de acesso. Os controles projetados para phishing de texto não abordam esse vetor. O pessoal da recepção, que enfrenta o maior volume de alvos, recebe menos treinamento em segurança.
Os grupos RaaS agora publicam dados de hotéis roubados em sites de vazamento, independentemente de o resgate ter sido pago. O pagamento não impede mais a divulgação: é necessária uma notificação à ANPD e aos hóspedes afetados, independentemente de os dados criptografados serem recuperados ou não.
Por onde começar
Para portfólios de hotéis e hospitalidade, comece mapeando quais controles da lista acima estão ausentes e quais superfícies de ataque da tabela de infraestrutura não são monitoradas. Nosso guia de segurança cibernética em hotelaria cobre as superfícies de ataque específicas e os controles básicos de segurança com mais profundidade. Para uma visão direta da sua postura de segurança atual, o Avaliação de segurança cibernética Cyvra abrange ambientes hoteleiros e produz uma lista de ações priorizadas em vez de um relatório genérico.
Como a Cyvra pode ajudar
A Cyvra trabalha com hotéis e grupos de hotelaria no Brasil, no Reino Unido e na Europa nos riscos específicos abordados neste relatório e em outros. Nosso trabalho começa com uma avaliação que mapeia a superfície de ataque em toda a operação e nos sistemas do hotel, incluindo PMS, POS, Wi-Fi para hóspedes, conexões com fornecedores e exposição do pessoal, e produz uma lista de ações prioritárias em vez de um relatório genérico. Com uma superfície de ataque tão grande, as lacunas e áreas de melhoria que uma avaliação da Cyvra identifica costumam superar em muito o que as equipes de negócio e de TI percebem que têm.
A avaliação cobre a postura de TI, tecnologia e segurança do seu hotel em seis domínios principais: rede e infraestrutura, acesso e identidade, risco de fornecedores e terceiros, tecnologia hoteleira, exposição do pessoal e obrigações de conformidade, incluindo PCI DSS e GDPR. O resultado é uma lista de ações prioritárias com classificações de gravidade e orientação de remediação. Podemos depois trabalhar com suas equipes para atuar com base nas conclusões, quer seja como vCISO contínuo ou como consultor por projeto.
Se quiser entender onde estão seus controles atuais em relação ao nível de ameaça descrito neste artigo, a Avaliação de Cibersegurança da Cyvra é o ponto de partida. Para hotéis que já sofreram um incidente ou que estão se preparando para uma auditoria de conformidade, entre em contato diretamente e definimos juntos o enquadramento adequado.
Ryland lidera programas de cibersegurança, conformidade e gestão de TI para organizações regulamentadas no Brasil, Reino Unido e Países Baixos há mais de 20 anos, com cargos sênior na Microsoft, ING, IPsoft, PPHE e mais.