Comment se produisent les attaques de cybersécurité ? Vous avez peut-être déjà vu (et évité) une ou deux des menaces de cybersécurité les plus courantes dans votre hôtel. Voici quelques-unes des méthodes les plus fréquentes utilisées par les criminels pour accéder aux données sécurisées de votre hôtel :

• Attaques de phishing : ces attaques commencent par un e-mail, un SMS ou un appel téléphonique frauduleux qui incite un employé à partager des informations sensibles. Par exemple, votre hôtel peut recevoir un e-mail qui semble provenir d'une OTA et qui vous demande de cliquer sur un lien pour empêcher la désactivation de la fiche de votre hôtel. Un employé qui n'est pas au courant de ce type d'attaque peut cliquer sur le lien et partager par inadvertance des informations financières ou des données personnelles avec l'attaquant.

• Attaques par ransomware : dans cette attaque, un logiciel malveillant verrouille votre appareil jusqu'à ce qu'une rançon, généralement une somme d'argent en cryptomonnaie, soit payée. Ce type d'attaque peut rendre le logiciel d'un hôtel inutilisable pendant des jours. En 2023, une attaque par ransomware a touché MGM Resorts et a mis ses systèmes hors ligne pendant 60 heures , ce qui a entraîné une panne de son PMS, en plus de l'impossibilité de créer des cartes-clés, d'encaisser des paiements ou de gérer le stationnement.

• Violation de données : tout vol d’informations sensibles, comme les données de carte de crédit et les numéros de passeport, est considéré comme une violation de données. Les hôtels sont des cibles privilégiées pour les violations de données en raison de la quantité de données qu’ils traitent. Marriott a été victime d’une violation de données massive en 2018 au cours de laquelle les informations personnelles de plus de 500 millions de clients ont été exposées.

• Menaces internes : bien que de nombreuses cyberattaques proviennent de l'extérieur des organisations attaquées, il n'est pas rare qu'une attaque interne se produise. Lorsque les employés ont un accès étendu aux informations des clients, aux données financières et aux mots de passe, il est possible qu'un vol de données ou une fuite de sécurité se produise. Le maintien d'un contrôle d'accès approprié aux systèmes et la formation régulière des employés sur les protocoles de sécurité contribueront à minimiser le risque d'une menace interne.

Comme nous l’avons mentionné plus haut, les attaques de cybersécurité se produisent dans les hôtels, et avec une fréquence regrettable. Vous avez peut-être entendu parler de deux incidents de cybersécurité majeurs qui ont fait la une des journaux ces dernières années : la violation de données de Marriott et l’attaque par ransomware de MGM.

Entre 2014 et 2018, Marriott a été victime d'une cyberattaque qui a exposé les informations personnelles de près de 500 millions d'anciens clients. Les pirates ont mis la main sur des données telles que des adresses, des adresses e-mail, des numéros de téléphone et même des numéros de passeport et de carte de crédit. Comment cela s'est-il produit ? Marriott affirme que les données étaient protégées, mais pas cryptées, de sorte que dès que les pirates ont pénétré dans le système de réservation de Marriott, ils ont pu facilement voler les données. Marriott a été condamné à une amende de près de 24 millions de dollars, et l'incident est entré dans l'histoire comme l'une des plus grandes violations de données de tous les temps.

Un autre type d'attaque de cybersécurité a touché MGM en septembre 2023 : une attaque par ransomware a provoqué l'arrêt des systèmes d'accueil et de back-office pendant quelques jours, entraînant une perte de revenus estimée à 100 millions de dollars. Les clients ont signalé des problèmes avec les cartes-clés, les machines à sous, les distributeurs automatiques de billets, les systèmes de stationnement et plus encore de MGM - et l'incident a fait la une des journaux. On ne sait pas si MGM a payé une rançon aux attaquants, mais Caesars a été touché par une attaque similaire juste avant MGM, et Caesars a payé environ 15 millions de dollars de rançon aux pirates dans le cadre d'un accord selon lequel ils ne divulgueraient pas les données volées.

Aucun hôtel ne souhaite être victime d’une cyberattaque. Comment éviter qu’un incident ne se produise ? La bonne nouvelle est qu’il existe quelques bonnes pratiques simples, dont certaines peuvent être mises en œuvre dès aujourd’hui, pour sécuriser vos données et éviter de devenir une cible :

• Mettre en place des contrôles d'accès stricts : dans tout système hébergeant des informations sensibles, vous devez configurer un accès basé sur les rôles afin que seuls les employés qui ont réellement besoin d'avoir une visibilité sur ces données puissent y accéder. Il n'y a aucune raison pour que chaque employé soit administrateur dans chaque système. En outre, faites de l'authentification multifacteur une norme pour ajouter une couche de sécurité supplémentaire.

• Organisez régulièrement des sessions de formation pour vos employés : dans de nombreux cas, un employé clique par erreur sur un e-mail frauduleux parce qu'il ne sait pas comment repérer une tentative de phishing. Assurez-vous que vos employés sont capables de reconnaître les tentatives de phishing et autres cybermenaces, et utilisez ces sessions de formation pour les tenir au courant des derniers protocoles de cybersécurité de votre hôtel.

• Réseaux Wi-Fi sécurisés pour les clients : pour protéger les données sensibles de votre hôtel, vous devez disposer de deux réseaux Wi-Fi distincts sur place : un pour les clients et un pour un usage interne. Le réseau interne doit être protégé par un mot de passe et inaccessible à toute personne extérieure à votre organisation.

• Chiffrez vos données : évitez de vous retrouver comme Marriott, dans une situation où vos données risquent d'être volées parce qu'elles ne sont pas chiffrées. Que vous envoyiez ou receviez des données sensibles, ou que vous les stockiez simplement, vos systèmes de paiement et votre base de données de réservations doivent être entièrement chiffrés.

• Effectuez des audits de sécurité réguliers : travaillez avec un fournisseur de cybersécurité tiers pour évaluer vos risques de sécurité et effectuez des pénétrations à intervalles réguliers

• Établissez un plan de réponse aux incidents : même s'il n'est jamais amusant d'envisager le pire scénario, il est judicieux d'élaborer un plan pour la manière dont vous et votre équipe géreriez une faille de sécurité informatique. Réfléchissez à la manière dont vous réagiriez rapidement pour minimiser l'impact et maintenir votre hôtel en activité tout au long de l'incident.

Quels outils et technologies vous aideront à protéger vos données ? Au minimum, vos appareils sur site doivent être équipés de pare-feu et d'un logiciel antivirus pour empêcher les logiciels malveillants dangereux. Les systèmes de détection d'intrusion peuvent également vous alerter si un fichier malveillant est téléchargé ou si un utilisateur non autorisé accède à un appareil. Lorsque vous envoyez ou collectez des données d'invités, il est également judicieux d'utiliser un système de tokenisation pour crypter les données, éliminant ainsi la possibilité d'une violation de données pendant le transit.

Cela étant dit, les technologies émergentes telles que les outils de cybersécurité basés sur l’IA et la blockchain visent à renforcer le niveau de sécurité de nombreux types de transactions. Elles peuvent éliminer le besoin de mots de passe et d’autres clés d’accès potentiellement vulnérables.

Étant donné que les hôtels traitent de nombreuses données sensibles sur leurs clients, des adresses e-mail aux numéros de passeport, il est essentiel non seulement de protéger ces données, mais également de se conformer aux réglementations locales. Quelques réglementations sont particulièrement pertinentes pour le secteur hôtelier :

• RGPD : Le Règlement général sur la protection des données est un règlement de l'Union européenne qui définit les normes sur ce que les entreprises peuvent ou ne peuvent pas faire avec les données personnelles. Vous avez peut-être remarqué que des sites Web ajoutent des fenêtres contextuelles demandant votre consentement pour stocker des cookies ; ce consentement est le résultat du RGPD récemment mis en œuvre. Les entreprises qui ont des sites Web destinés aux utilisateurs européens doivent se conformer au RGPD ou risquer des poursuites judiciaires.

• CCPA : calqué sur le RGPD, le California Consumer Privacy Act est une loi d'État qui garantit aux utilisateurs de savoir quelles données sont collectées à leur sujet, comment elles sont utilisées, où elles sont stockées et comment les supprimer.

• PCI DSS : S'appliquant spécifiquement aux données de carte de crédit, les normes de sécurité des données de l'industrie des cartes de paiement décrivent les normes que les entreprises doivent suivre lors de la collecte et du stockage des informations de paiement, en plus d'une vérification annuelle du respect des pratiques de sécurité recommandées.

Le respect de ces réglementations permettra de préserver la sécurité de vos données sensibles et d’éviter le risque de sanctions juridiques.

Vous savez désormais comment protéger les données et l'infrastructure numérique de votre hôtel, mais à quoi pouvez-vous vous attendre avec l'essor des nouvelles technologies ? Certaines avancées technologiques nécessiteront sûrement une attention particulière aux risques de sécurité et à la protection des données.

À mesure que les hôtels utilisent davantage d’appareils IoT (Internet des objets), tels que des serrures et des enceintes intelligentes, il y aura davantage d’appareils à sécuriser, ce qui rend encore plus important de disposer de réseaux Wi-Fi sécurisés et de contrôles d’accès appropriés.

L’essor des mesures de sécurité biométriques, telles que la reconnaissance faciale et la lecture des empreintes digitales, va entraîner la transmission et le stockage sécurisés d’informations d’identification personnelle encore plus sensibles. Cependant, la biométrie peut vous aider à mieux contrôler l’accès à vos systèmes ou à vos espaces physiques ; un mot de passe peut être facilement partagé, mais pas une empreinte digitale.

L’évolution vers des expériences client numériques entraîne également une plus grande complexité en matière de prévention des risques de cybersécurité. L’entrée sans clé dans les chambres, par exemple, présente de nombreux avantages, mais elle ouvre également le risque qu’un pirate informatique parvienne à pénétrer dans une chambre sans autorisation. De même, l’enregistrement mobile est plus rapide et plus pratique que de faire la queue à la réception, mais cela signifie que les hôtels doivent être plus attentifs à la sécurité des données des clients sur de nombreux appareils et systèmes.