- Uma rede Wi-Fi única para hóspedes, recepção e câmeras é a falha de infraestrutura mais comum em hotéis de médio porte
- O padrão mínimo são três redes isoladas em VLANs distintas: hóspedes, administrativa e infraestrutura/IoT
- Câmeras de segurança e fechaduras eletrônicas raramente recebem atualização de firmware e são o alvo mais fácil dentro da rede
- Um portal cativo com senha única por reserva protege os hóspedes entre si sem complicar a conexão
- Testar o isolamento é simples: um dispositivo na rede de hóspedes nunca deve conseguir alcançar um equipamento administrativo
Como uma rede vira um risco sem que ninguém perceba
Poucos hotéis de médio porte projetaram a própria rede Wi-Fi do zero. Na maioria dos casos, ela cresceu aos poucos: primeiro veio o acesso para hóspedes, depois a recepção conectou o computador do PMS na mesma rede porque era o cabo mais próximo, e mais tarde alguém instalou câmeras de segurança usando o sinal Wi-Fi disponível no corredor. Nenhuma dessas decisões foi tomada com má intenção. O resultado, ainda assim, é uma única rede plana onde o notebook de um hóspede e o terminal que processa pagamentos de reserva estão, do ponto de vista técnico, no mesmo ambiente.
Essa não é uma questão de detalhe técnico. É a diferença entre um dispositivo de hóspede comprometido conseguir apenas navegar na internet, e esse mesmo dispositivo conseguir enxergar e tentar acessar a impressora da recepção, o servidor do PMS ou uma câmera de segurança do hotel. Em uma rede sem segmentação, essa segunda possibilidade está sempre aberta, mesmo que nunca tenha sido explorada até hoje.
O padrão mínimo: três redes isoladas
Qualquer hotel, independentemente do porte, deveria operar pelo menos três redes Wi-Fi logicamente separadas:
- Rede de hóspedes: acesso à internet, sem visibilidade de nenhum outro equipamento do hotel, idealmente atrás de um portal cativo com senha por reserva.
- Rede administrativa: PMS, computadores da recepção, terminais de pagamento e sistemas de gestão, completamente isolada da rede de hóspedes.
- Rede de infraestrutura e IoT: câmeras de segurança, fechaduras eletrônicas, automação predial e outros dispositivos conectados, isolada tanto da rede de hóspedes quanto da administrativa.
Na prática, isso se implementa com VLANs configuradas no switch e no controlador de Wi-Fi, com regras de firewall explícitas que bloqueiam qualquer tráfego entre essas três redes, exceto o estritamente necessário para a operação. Um sistema central de monitoramento de câmeras, por exemplo, pode precisar de uma exceção pontual e documentada, não de acesso livre entre redes.
Por que câmeras e fechaduras merecem uma rede própria
Dispositivos de IoT, câmeras, fechaduras eletrônicas e sensores de automação compartilham dois problemas recorrentes: firmware que raramente recebe atualização e senha padrão de fábrica que nunca foi trocada na instalação. Isso os torna, de forma consistente, o alvo mais fácil de comprometer em qualquer rede corporativa, hoteleira ou não.
Se uma câmera ou fechadura eletrônica está acessível a partir da mesma rede que os hóspedes usam, ela está, na prática, exposta à internet pública. Isolar esses dispositivos em uma VLAN própria, com acesso à internet restrito ao mínimo necessário, é um dos controles de maior retorno para o esforço que exige.
Portal cativo: segurança sem fricção para o hóspede
Segmentar a rede não precisa tornar o Wi-Fi mais difícil de usar. Um portal cativo com senha única por reserva, gerada automaticamente a partir do número do quarto e do sobrenome do hóspede, mantém a conexão simples e, ao mesmo tempo, isola melhor os hóspedes entre si dentro da própria rede. Isso dificulta que um dispositivo comprometido em um quarto ataque diretamente o notebook do hóspede do quarto vizinho.
Redes completamente abertas, sem qualquer senha, ainda comuns em pousadas e hotéis menores, eliminam até essa camada básica de isolamento e dificultam identificar a origem de um uso indevido da rede, caso seja necessário investigar depois.
Como implementar a segmentação sem parar a operação
Como saber se a sua rede já está exposta
Um teste rápido, que não substitui uma auditoria completa, é conectar um notebook à rede de hóspedes e tentar alcançar o endereço IP de um equipamento administrativo conhecido, como a impressora da recepção. Qualquer resposta de rede, mesmo sem conseguir usar o equipamento, indica que a segmentação não está funcionando como deveria. Uma auditoria técnica formal revisa a configuração das VLANs, as regras de firewall entre elas e testa esse isolamento de forma sistemática, incluindo os pontos de acesso físicos e sua configuração individual.
A rede de hóspedes e a rede administrativa são apenas uma das quatro superfícies de ataque que a hospitalidade opera simultaneamente. Para uma visão mais ampla dos riscos, veja nossa análise sobre os riscos de cibersegurança que os hotéis precisam enfrentar. Para hotéis no Brasil, a HotelTI foi criada especificamente para o setor e opera sob o grupo Cyvra.