Haben Sie noch 1,6 Millionen Dollar übrig? Das ist der durchschnittliche Betrag, den Sicherheitsexperten jetzt schätzen, um sich von einem Cyberangriff mit Malware.

Hotels sind leichte Ziele für Hacker. Viele Hotels haben kein Vertrauen in die Cybersicherheit. "Die beiden größten globalen Berichte über Datenschutzverletzungen, der Global Security Report von Trustwave und der Data Breach Investigation Report von Verizon im vergangenen Jahr, zeigen beide, dass die Gastfreundschaft in diesem Bereich weiterhin zu kämpfen hat. Verizon, berichtet, dass Unterkunft, Verpflegung und Unterkunft fast 54 % ihrer Fallzahl ausmachten,” sagt Bob Russo, GM des PCI Security Standards Council.”

Jedes Mal, wenn die Gästeaufzeichnungen eines Hotels verletzt werden, wird das Hotel durch finanzielle Belastungen belastet und Gesichter gebrochen Vertrauen Sie Ihren Gästen. Als Hotelier müssen Sie kein Experte für Cybersicherheit sein, aber Sie müssen unbedingt die Grundlagen zum Schutz Ihres Unternehmens und Ihrer Gäste verstehen. Hier sind einige Möglichkeiten, wie Sie die Cybersicherheit in Ihrem Hotel angehen und Ihr Risiko minimieren können minimize so viel wie möglich. 

Warum Ho tels sind attraktive Ziele für Hacker

Hotels sind einfach – und profitabel – Angriffsziele für Hacker. Hotels sind aus zwei Gründen attraktive Ziele: Erstens ist die Cybersicherheit in vielen Hotels lax. „Nur etwa 25 % aller US-Unternehmen, einschließlich Hotelbetreibern, halten sich vollständig an die aktuellen Best Practices für die Datensicherheit. Das bedeutet, dass drei von vier nicht und potenzielle Katastrophen sind, die darauf warten, einzutreten.” sagt Russo.

Zweitens verarbeiten Hotels viele Transaktionen und speichern Tonnen von Gästedaten. Ein Hacker kann gleichzeitig das Kassen- und Immobilienverwaltungssystem einer Unterkunft angreifen, um Zahlungskarteninformationen sowie personenbezogene Daten wie Passnummern und E-Mail-Adressen zu erfassen. Malware kann sich zwischen POS- und PMS-Systemen in verschiedenen Hotels unter derselben Marke bewegen und Gäste an Standorten auf der ganzen Welt beeinträchtigen, ohne dass jemand klüger wird. Ebenso gibt es viele Zugangspunkte, die ein Hacker in einer einzigen Eigenschaft angreifen kann. „Im Februar wurde berichtet, dass von den 21 bekanntesten Datenschutzverletzungen von Hotelunternehmen seit 2010 20 auf Malware zurückzuführen waren, die POS-Systeme in einem Hotelrestaurant, einer Bar und einem Einzelhandelsgeschäft befallen hat“ sagt Mark Voortman, Ph.D., Leiter des Informationstechnologieprogramms bei die Rowland School of Business in Pittsburgh.

Ein kleines Hotel mit 100 Zimmern und einem Restaurant mit 50 Sitzplätzen verarbeitet immer noch täglich Hunderte von Einzelzahlungen. Diese einzigartigen Zahlungen sind praktisch schutzlos; Nur wenige Hotels verfügen über die erforderlichen Sicherheitsprotokolle, Infrastrukturen und Schulungen, um sicherzustellen, dass interessierte Parteien davon abgehalten werden, Gästeinformationen zu stehlen. 

Was ist Malware? Definierte Schlüsselkonzepte der Cybersicherheit

Das Verständnis der Schlüsselkonzepte der Cybersicherheit ist die halbe Miete. Hier sind einige häufige Begriffe, denen Sie bei der Verbesserung der Sicherheit in Ihrem Hotel begegnen werden: 

• Phishing: Phishing  tritt auf, wenn Betrüger Ihnen eine E-Mail, eine SMS senden oder Sie sogar anrufen, um Sie dazu zu bringen, persönliche Angaben preiszugeben Informationen, mit denen sie dann auf Ihre Bankdaten oder Kreditkarten zugreifen können. Eine Phishing-E-Mail kann wie eine Nachricht von Ihrer Bank aussehen, die Sie warnt, dass Ihr Konto geschlossen wird, es sei denn, Sie bestätigen Ihre persönlichen Daten. 

• Verschlüsselung: strong> Verschlüsselung ist ein Sicherheitsverfahren, bei dem Daten verschlüsselt werden, damit nur Parteien zum Lesen berechtigt ist, die Informationen verstehen kann. Der Prozess nimmt lesbare Daten und ändert sie so, dass sie zufällig erscheinen. Die Partei, die verschlüsselte Informationen empfängt, benötigt einen Schlüssel, um Daten zu entschlüsseln und in lesbaren Klartext umzuwandeln. 

• VPN: VPN steht für “virtuelles privates Netzwerk.” Ein VPN maskiert Ihre IP-Adresse und hält Ihre Internetaktivitäten weitgehend unauffindbar. Es ist ein großartiges Tool, um sicherzustellen, dass Ihre Internetverbindung sicher und privat ist. 

• Malware: Malware ist die Abkürzung für “bösartige Software.” Malware wurde entwickelt, um Zugriff auf Ihren Computer zu erlangen; Spyware, Ransomware, Viren und Trojaner sind verschiedene Arten von Malware. 

• Penetrationstest: Penetrationstests ist ein Verfahren, bei dem ein Cybersicherheitsexperte versucht, Schwachstellen in einem Computersystem zu identifizieren. Der Experte simuliert einen Malware- oder Hacking-Angriff, um Schwachstellen zu finden, die Angreifer ausnutzen könnten. 

• APT (Advanced Persistent Threat): ein APT ist die schlimmste Art von Angriff, bei dem ein bösartiger Akteur “kontinuierliche, heimliche und ausgeklügelte Hacking-Techniken um sich Zugang zu einem System zu verschaffen und über einen längeren Zeitraum darin zu bleiben, mit potenziell destruktiven Folgen.”

• Antivirus: ein Programm, das entwickelt wurde, um Computerviren auf einem Betriebssystem zu erkennen und zu zerstören

• Anti-Malware: Ähnlich wie Antivirus-Software, aber wo Antivirus konzentriert sich auf ältere/bekannte Bedrohungen, Anti-Malware konzentriert sich normalerweise auf neuere unbekannte Bedrohungen.  Malware-Schutz konzentriert sich darauf, unbekannte Bedrohungen zu erkennen, bevor sie sich bei ausgereiften Viren voll entfalten.  Malware-Entfernung ist in der Regel schwieriger als Antivirus, da es mehr Unbekannte gibt.

• Rootkit: Ein Rootkit ist ein heimliches Computerprogramm, das von Cyberkriminellen entwickelt wurde, um einen kontinuierlichen privilegierten Zugriff auf einen Computer gewähren und gleichzeitig seine Anwesenheit aktiv verbergen.

• Keylogger: Ein Keylogger, manchmal auch als Keylogger oder Systemmonitor bezeichnet, ist ein Art der Überwachungstechnologie, die verwendet wird, um jeden Tastenanschlag auf einer bestimmten Computertastatur zu überwachen und aufzuzeichnen. Die Keylogger-Software ist auch für die Verwendung auf mobilen Geräten wie Apples iPhone und Android-Geräten erhältlich.  Keylogger sind eine legitime Software, die für immer verwendet werden kann, aber oft als Betrug verwendet wird, um sensible Informationen wie Kreditkartennummern und Passwörter zu stehlen.

• Botnet: ein Netzwerk privater infizierter Computer, die bösartigen Code enthalten und als Gruppe ohne Wissen der Besitzer kontrolliert werden, um z. B. Spam-Nachrichten zu versenden.

Verwendung eines VPN und Verschlüsselung sowie regelmäßige Penetrationstests können Ihr Netzwerk vor Malware und APTs schützen. Sie sollten auch sicherstellen, dass das IT-Team Ihres Hotels regelmäßig die Computer der Unterkunft auf Tastatureingaben überprüft und dass Ihre Mitarbeiter keine seltsamen E-Mail-Anhänge öffnen.  Dies sind die absoluten Mindestsicherheitsprotokolle, die Sie regelmäßig üben müssen, um Katastrophen wie diese hochkarätigen Hacks in der Hotelbranche zu vermeiden.

Hochkarätige Malware-Angriffe im Hotelbranche

Forschung von Symantec, ein Cybersicherheitsunternehmen, hat festgestellt, dass mehr als 65 % der Hotels routinemäßig Buchungsreferenzcodes über Websites von Drittanbietern preisgeben. Warum ist das wichtig? Denn die über diese Codes geteilten Informationen würden es einem schlechten Akteur ermöglichen, sich bei einer Reservierung anzumelden, persönliche Daten anzuzeigen und sogar eine Buchung vollständig zu stornieren. In diesem Fall sind Ihre Gästedaten angreifbar und Sie riskieren, die Gästebeziehung zu zerstören.

Die Untersuchungen von Symantec haben ergeben, dass Hotels jeder Größe gefährdet sind. Bei HEI Hotels & Resort, Starwood/Marriott und mehr. Hier sind nur einige hochkarätige Veranstaltungen:

HEI Hotels & Resorts 

2016 betraf eine Datenschutzverletzung 20 US-Hotels, die von HEI Hotels & Resorts. Der Angriff enthüllte die Zahlungskartendaten von Zehntausenden von Transaktionen mit Speisen und Getränken. In den Hotels wurde Malware entdeckt’ Zahlungssysteme, die zur Verarbeitung von Karteninformationen in Restaurants, Bars, Spas, Lobby-Shops und anderen Einrichtungen vor Ort verwendet werden. Experten haben festgestellt, dass Hacker wahrscheinlich Kundennamen, Kontonummern, Kartenablaufdaten und Bestätigungscodes sperren.

Starwood/Marriott

Im Januar 2019 Starwood/Marriott entdeckte, dass eine Datenschutzverletzung die persönlichen Daten von Gästen offengelegt hatte, die seit 2014 in ihren Unterkünften waren. Gästedaten wurden von rund 500 Millionen Menschen gestohlen – einschließlich verschlüsselter Passnummern und Kredit- oder Debitkartennummern. Die New York Times berichtete, dass Hacker möglicherweise mit dem chinesischen Staatsfinanzministerium zusammengearbeitet haben, da ein Angriff dieser Größenordnung bemerkenswert ist.

Omni Hotels & Resorts

Omni wurde 2016 ebenfalls durch eine Malware-Attacke angegriffen, von der 50.000 Kunden betroffen waren. Debit- und Kreditkarteninformationen von 49 der 60 Standorte der Kette wurden gestohlen: darunter Kredit- und Debitkartennummern, Karteninhabernamen, Sicherheitscodes und Ablaufdaten. 

Hyatt

In 41 der Hyatt-Hotels verschafften sich Hacker beim zweiten Angriff seit 2015 unbefugten Zugriff auf Zahlungskarteninformationen beim zweiten Angriff, so ein Sicherheitsexperte, „Möglicherweise werden die von der Hyatt-Gruppe im Dezember 2015 unternommenen Schritte immer noch im gesamten Unternehmen eingesetzt, insbesondere wenn diese Systeme über den ganzen Globus verstreut und nicht über ein gemeinsames Netzwerk verbunden sind . Bei der Auswahl Ihres Systemverwaltungs-Toolsets müssen Sie die Lösung implementieren, die mit 2048-Bit-Zertifikaten und Zwei-Faktor-Authentifizierung gesichert ist funktioniert auch unabhängig davon, wo sich die Endpunkte befinden.”

Sabre 

Sabre verarbeitet Reservierungen für rund 100.000 Hotels und mehr als 70 Fluggesellschaften weltweit. Das Unternehmen wurde anvisiert im Jahr 2017 von bösartigen Akteuren, die Anmeldeinformationen für die Sabre Hospitality Solutions gestohlen haben’ SynXis zentrales Reservierungssystem. Diese Zugangsdaten ermöglichten den Zugriff auf Kundendaten, einschließlich Zahlungskarteninformationen und Reservierungsdetails – Kunden’ Namen, E-Mail-Adressen, Telefonnummern und Adressen.

Diese hochkarätigen Angriffe sorgen für Schlagzeilen, aber es gibt jeden Monat Hunderte kleinerer Angriffe in Hotels. Noch vor kurzem hat ein massiver Hack, wie der bei Fontainbleu in Miami, von den Mainstream-Medien unbemerkt geblieben. Quellen berichteten, dass Fontainbleu einem Ransomware-Angriff auf sein Kreditkartensystem ausgesetzt war, der das Hotel dazu zwang, entweder die Gästedaten zu gefährden, indem es weiterhin Kartenzahlungen akzeptiert oder die Gäste auffordert, in bar zu bezahlen. Gäste warteten bis zu fünf Stunden auf Zimmer, während die Rezeption versuchte, die Situation zu mildern – eine Szene, die von einer Person als “Chaos beschrieben wurde.” „Die Schlange war aus der Tür in die Lobby“ ein leitender Angestellter sagte Variety Magazine. Für ein Fünf-Sterne-Hotel wie das Fontainebleau ist ein Vorfall wie dieser absolut markenzerstörend.

So schützen Sie Ihr Hotel vor Malware-Angriffen & Cyber-Bedrohungen

Was ist der beste Weg, um sicherzustellen, dass Ihre Daten sicher bleiben und keine Gäste im Stich gelassen werden? Gehen Sie in erster Linie besonders sorgfältig bei der Auswahl eines Kassensystems und eines Kreditkartenprozessors vor. „Vereinbarungen mit diesen Entitäten sollten überprüft und, wenn möglich, geändert werden, um Schutz und Mindeststandards für die Datenverarbeitung für den externen Anbieter hinzuzufügen. Die Einhaltung des Payment Card Industry Data Security Standards (PCI-DSS) trägt nicht nur dazu bei, dass Datensicherheitssoftware, -hardware und -praktiken sicherer sind, sondern trägt auch zum Schutz vor Bußgeldern und Strafen bei, wenn ein Verstoß auftritt.” schreibt ein Experte.

Ein Anbieter der Enterprise-Klasse , wie Oracle Hospitality, kann die anfällige Verbindung zwischen Ihrem PMS und POS sichern. Oracle OPERA ist eine Cloud-basierte Property-Management-System das in das Point-of-Sale-System von Micros sowie in eine Reihe anderer Anwendungen integriert ist. Oracle bietet ausgereifte Sicherheitsprotokolle wie Cloud Security Monitoring Analytics zur Überwachung der Plattform sowohl vor Ort als auch in der Cloud. Oracle-Tools umfassen auch: 

• Cloud Compliance Control (OMC CC) zur Überprüfung der Konfigurationen gegen Unternehmensanforderungen oder externe Vorschriften; 

• Cloud Access Security Broker (Oracle CASB), um Schatten-IT in der Cloud zu erkennen und Unternehmensanforderungen bezüglich der Nutzung und Konfiguration von Oracle und Cloud-Diensten von Drittanbietern wie AWS, Salesforce, Azure, Box etc.; 

• Identity Cloud Service (Oracle IDCS) zur Bereitstellung einer Benutzerverwaltung und Authentifizierungssystem für lokale oder Cloud-Dienste.

Diese Sicherheitsprotokolle überwachen die Vorgänge in Ihrem internen Netzwerk sowie alle externen Angriffe. Die Zusammenarbeit mit Oracle bietet Ihnen mehrschichtige Sicherheit , Datenschutz, sichere Transaktionen und die Einhaltung von Zahlungs- und Datenschutzstandards. Aber wie der Sabre-Angriff gezeigt hat, reichen manchmal selbst diese Maßnahmen nicht aus. Mit den richtigen Zugangsdaten kann jeder an Ihrem Sicherheitssystem vorbeikommen.

Die richtige Technologie ist nur die halbe Gleichung; Im Laufe der Jahre haben Sicherheitsexperten auch Mitarbeiter als Teil des Problems identifiziert. Hotels müssen ihre Mitarbeiter darin schulen, mit der Sicherheit personenbezogener Daten umzugehen, Datenschutzrichtlinien einzuhalten und die Zugangsdaten der Benutzer regelmäßig zu ändern. Diese Branche hat eine hohe Fluktuation, was einer der Gründe dafür ist, dass die Mitarbeiter die Sicherheitsstandards nicht immer einhalten. Ihr Eigentum sollte regelmäßig Info-Section-Seminare veranstalten, um sicherzustellen, dass alle neuen Mitarbeiter geschult werden und Veteranen über die neuesten Bedrohungen auf dem Laufenden bleiben.

Selbst mit einem großartigen PMS/POS-System und der richtigen Schulung, Es ist wichtig, routinemäßige Penetrationstests und Risikobewertungen durchzuführen. Es keine einfache Antwort wie oft Sie sollten Ihr Netzwerk per Stift testen, aber Experten warnen einmal im Jahr wahrscheinlich nicht oft genug. Neben der Schulung Ihrer Mitarbeiter, der Aktualisierung Ihrer Sicherheitssoftware und der Investition in eine Plattform wie Oracle OPERA, die in Cybersicherheit investiert ist, können Sie Ihre Gäste dazu ermutigen, ein VPN zu verwenden und sich von ihrem WLAN abzumelden, wenn es nicht verwendet wird.