Heeft u nog $1,6 miljoen over? Dat is het gemiddelde bedrag dat beveiligingsexperts nu schatten dat een bedrijf nodig heeft om te herstellen van een cyberaanval met malware.
Hotels zijn een gemakkelijk doelwit voor hackers. Cyberbeveiliging is niet iets waar veel hotels vertrouwen in hebben. "Vorig jaar tonen de twee grootste wereldwijde rapporten over datalekken, Trustwave's Global Security Report en Verizon's Data Breach Investigation Report, beide aan dat gastvrijheid op dit gebied blijft worstelen. Verizon meldt ondertussen dat accommodatie, eten en onderdak vormden bijna 54% van hun caseload”, zegt Bob Russo , GM van de PCI Security Standards Council.”
Elke keer dat de gastengegevens van een hotel worden geschonden, wordt het pand belast met financiële problemen en wordt het vertrouwen van de gasten geschonden. Als hotelier hoeft u geen expert te zijn in cyberbeveiliging, maar u moet absoluut de basis begrijpen om uw bedrijf en uw gasten te beschermen. Hier zijn enkele manieren om cyberbeveiliging in uw hotel aan te pakken en uw risico zo veel mogelijk te minimaliseren.
Waarom hotels aantrekkelijke doelwitten zijn voor hackers
Hotels zijn gemakkelijke – en winstgevende – doelwitten voor hackers. Hotels zijn om twee redenen aantrekkelijke doelwitten: ten eerste is de cyberbeveiliging bij veel accommodaties laks. “Slechts ongeveer 25% van alle Amerikaanse bedrijven, inclusief hotelexploitanten, voldoet volledig aan de huidige best practices op het gebied van gegevensbeveiliging. Dat betekent dat drie van de vier dat niet zijn en potentiële rampen wachten om te gebeuren”, zegt Russo.
Ten tweede verwerken hotels veel transacties en slaan ze tonnen gastgegevens op. Een hacker kan zich tegelijkertijd richten op het verkooppunt en het vastgoedbeheersysteem van een accommodatie om zowel betaalkaartgegevens als persoonlijke gegevens vast te leggen, zoals paspoortnummers en e-mailadressen. Malware kan zich verplaatsen tussen POS- en PMS-systemen bij verschillende accommodaties onder hetzelfde merk, waardoor gasten op locaties over de hele wereld worden getroffen zonder dat iemand wijzer is. Evenzo zijn er veel toegangspunten waarop een hacker zich kan richten in een enkele eigenschap. “In februari werd gemeld dat van de 21 meest spraakmakende datalekken van hotelbedrijven die zich sinds 2010 hebben voorgedaan, er 20 het gevolg waren van malware die de kassasystemen in een hotelrestaurant, bar en winkel had aangetast”, zegtMark Voortman , Ph.D., hoofd van het informatietechnologieprogramma aan de Rowland School of Business in Pittsburgh.
Een klein hotel met 100 kamers en een restaurant met 50 zitplaatsen verwerkt nog steeds honderden unieke betalingen per dag. Die unieke betalingen zijn vrijwel weerloos; Er zijn maar weinig hotels die over de nodige beveiligingsprotocollen, infrastructuur en training beschikken om ervoor te zorgen dat geïnteresseerde partijen ervan worden weerhouden gasteninformatie te stelen.
Wat is malware? Belangrijkste concepten voor cyberbeveiliging gedefinieerd
Het begrijpen van de belangrijkste concepten van cyberbeveiliging is het halve werk. Hier zijn enkele veelvoorkomende termen die u tegenkomt bij het verbeteren van de beveiliging in uw hotel:
Phishing: phishing vindt plaats wanneer oplichters u een e-mail, sms of zelfs bellen om u te proberen te misleiden om persoonlijke informatie te onthullen die ze vervolgens kunnen gebruiken om toegang te krijgen tot uw bankgegevens of creditcards. Een phishing-e-mail kan eruitzien als een bericht van uw bank waarin u wordt gewaarschuwd dat uw account wordt afgesloten, tenzij u uw persoonlijke gegevens verifieert.
Versleuteling: Versleuteling is een beveiligingsprocedure waarbij gegevens worden versleuteld, zodat alleen partijen die bevoegd zijn om deze te lezen, de informatie kunnen begrijpen. Het proces neemt leesbare gegevens en wijzigt deze zodat deze willekeurig lijken. De partij die versleutelde informatie ontvangt, heeft een sleutel nodig om gegevens te decoderen en om te zetten in leesbare platte tekst.
VPN: VPN staat voor " virtueel particulier netwerk ". Een VPN maskeert je IP-adres en houdt je internetactiviteit grotendeels onvindbaar. Het is een geweldig hulpmiddel om ervoor te zorgen dat uw internetverbinding veilig en privé is.
Malware: malware is een afkorting voor 'kwaadaardige software'. Malware is ontworpen om toegang te krijgen tot uw computer; spyware, ransomware, virussen en Trojaanse paarden zijn allemaal verschillende soorten malware.
Penetratietest: penetratietesten is een procedure waarbij een cyberbeveiligingsexpert zwakke punten in een computersysteem probeert te identificeren. De expert simuleert een malware- of hackaanval om eventuele kwetsbaarheden te vinden waar kwaadwillenden misbruik van kunnen maken.
APT (Advanced Persistent Threat) : een APT is de ergste vorm van aanval, waarbij een kwaadwillende gebruiker "continue, clandestiene en geavanceerde hacktechnieken gebruikt om toegang te krijgen tot een systeem en voor langere tijd binnen te blijven, met potentieel destructieve gevolgen.”
Antivirus: een programma dat is ontworpen om computervirussen op een besturingssysteem te detecteren en te vernietigen
Anti-malware:Vergelijkbaar met antivirussoftware, maar waar antivirus zich richt op oudere/bekende bedreigingen, richt antimalware zich meestal op nieuwere onbekende bedreigingen. Malwarebescherming is gericht op het identificeren van onbekende bedreigingen voordat ze volledig worden omgezet in volwassen virussen. Het verwijderen van malware is doorgaans moeilijker dan antivirus, omdat er meer onbekenden zijn.
Rootkit: Een rootkit is een clandestien computerprogramma dat door cybercriminelen is ontworpen om voortdurende bevoorrechte toegang tot een computer te bieden terwijl de aanwezigheid ervan actief wordt verborgen.
Keylogger: Een keylogger, ook wel toetsaanslaglogger of systeemmonitor genoemd, is een soort bewakingstechnologie die wordt gebruikt om elke toetsaanslag die op het toetsenbord van een specifieke computer wordt getypt, te controleren en vast te leggen. Keylogger-software is ook beschikbaar voor gebruik op mobiele apparaten, zoals Apple's iPhone- en Android-apparaten. Keyloggers zijn legitieme software die voorgoed kan worden gebruikt, maar die vaak wordt gebruikt als oplichterij om gevoelige informatie zoals creditcardnummers en wachtwoorden te stelen.
Botnet: een netwerk van privé geïnfecteerde computers die kwaadaardige code bevatten en die als een groep worden beheerd zonder medeweten van de eigenaren, bijvoorbeeld om spamberichten te verzenden.
Door een VPN en versleuteling te gebruiken, en door regelmatig penetratietests uit te voeren, kunt u uw netwerk beschermen tegen malware en APT's. U moet er ook voor zorgen dat het IT-team van uw hotel regelmatig de computers van de accommodatie controleert op toetsaanslagloggers en dat uw personeel geen vreemde e-mailbijlagen opent. Dit zijn de absolute minimale beveiligingsprotocollen die u regelmatig moet oefenen om rampen zoals deze spraakmakende hacks in de hotelindustrie te voorkomen.
Hoogwaardige malware-aanvallen in de hotelindustrie
Uit onderzoek van Symantec , een cyberbeveiligingsbedrijf, bleek dat meer dan 65% van de hotels routinematig boekingsreferentiecodes lekt via sites van derden. Waarom is dit belangrijk? Omdat de informatie die via deze codes wordt gedeeld, een slechte acteur in staat zou stellen om in te loggen op een reservering, persoonlijke gegevens te bekijken en zelfs een boeking helemaal te annuleren. Wanneer dit gebeurt, is uw gastinformatie kwetsbaar en loopt u het risico de gastrelatie te vernietigen.
Onderzoek van Symantec toonde aan dat hotels van elke omvang gevaar lopen. Er hebben grote hacks plaatsgevonden bij HEI Hotels & Resort, Starwood/Marriott en meer. Hier zijn slechts een paar spraakmakende evenementen:
HEI Hotels & Resorts
In 2016 trof een datalek 20 Amerikaanse hotels van HEI Hotels & Resorts . De aanval bracht de betaalkaartgegevens van tienduizenden voedsel- en dranktransacties aan het licht. Er is malware ontdekt op de betalingssystemen van de hotels die worden gebruikt om kaartinformatie te verwerken in restaurants, bars, spa's, lobbywinkels en andere faciliteiten op het terrein. Experts hebben vastgesteld dat hackers waarschijnlijk namen van klanten, rekeningnummers, vervaldatums van kaarten en verificatiecodes stoppen.
Starwood/Marriott
In januari 2019,Starwood/Marriott ontdekte dat een datalek de persoonlijke informatie van gasten die sinds 2014 in hun eigendommen verbleven, had blootgelegd. Van ongeveer 500 miljoen mensen werden gastgegevens gestolen, waaronder versleutelde paspoortnummers en creditcard- of debetkaartnummers. De New York Times meldde dat hackers mogelijk hebben samengewerkt met het Chinese ministerie van Financiën, aangezien een aanval van deze omvang opmerkelijk is.
Omni Hotels & Resorts
Omni werd in 2016 ook aangevallen in een malware-inbreuk die 50.000 klanten trof. Debet- en creditcardgegevens van 49 van de 60 locaties van de keten werden gestolen: inclusief creditcard- en debetkaartnummers, namen van kaarthouders, beveiligingscodes en vervaldatums.
Hyatt
Bij 41 van Hyatt's hotels kregen hackers bij de tweede aanval sinds 2015 ongeautoriseerde toegang tot betaalkaartinformatie. Van de tweede aanval merkte een beveiligingsexpert op: "Het is mogelijk dat de stappen die de Hyatt-groep in december 2015 heeft genomen nog steeds worden ingezet de organisatie, vooral als die systemen over de hele wereld zijn verspreid en niet zijn verbonden door een gemeenschappelijk netwerk. Wanneer u uw toolset voor systeembeheer kiest, moet u de oplossing implementeren die is beveiligd met 2048-bits certificaten en tweefactorauthenticatie, maar die ook werkt ongeacht waar de eindpunten zich bevinden.”
Sabel
Sabre verwerkt reserveringen voor ongeveer 100.000 hotels en meer dan 70 luchtvaartmaatschappijen wereldwijd. Het bedrijf wasin 2017 het doelwit van kwaadwillenden die inloggegevens stalen voor het SynXis Central-reserveringssysteem van Sabre Hospitality Solutions. Die inloggegevens gaven toegang tot klantgegevens, waaronder betaalkaartinformatie en reserveringsdetails - namen, e-mailadressen, telefoonnummers en adressen van klanten.
Deze spraakmakende aanvallen halen de krantenkoppen, maar er zijn elke maand honderden kleinere aanvallen bij hotels. Zelfs recentelijk is een enorme hack, zoals die in Fontainbleu in Miami, onopgemerkt gebleven door de reguliere media. Bronnen meldden dat Fontainbleu te maken kreeg met een ransomware-aanval op hun creditcardsysteem, waardoor het hotel gedwongen werd om gastengegevens in gevaar te brengen door kaartbetalingen te blijven accepteren of door gasten te vragen contant te betalen. Gasten wachtten tot vijf uur op kamers terwijl de receptie probeerde de situatie te verzachten - een scène die een persoon omschreef als "chaos .” "De rij was de deur uit naar de lobby", vertelde een directeur aan Variety Magazine . Voor een vijfsterrenhotel als Fontainebleau is een incident als dit absoluut merkvernietigend.
Hoe u uw hotel kunt beschermen Malware-aanvallen en cyberdreigingen
Wat is de beste manier om ervoor te zorgen dat uw gegevens veilig blijven en dat er geen gasten achterblijven? Wees eerst en vooral extra voorzichtig bij het selecteren van een kassasysteem en creditcardverwerker. "Overeenkomsten met die entiteiten moeten worden doorgelicht en, indien mogelijk, gewijzigd om bescherming en minimale gegevensverwerkingsnormen toe te voegen voor de externe leverancier. Naleving van de Payment Card Industry Data Security Standard (PCI-DSS) helpt niet alleen om ervoor te zorgen dat gegevensbeveiligingssoftware, -hardware en -praktijken veiliger zijn, maar helpt ook om te beschermen tegen boetes en straffen wanneer een inbreuk plaatsvindt", schrijftéén deskundige .
Een enterprise-grade provider, zoals Oracle Hospitality, kan de kwetsbare link tussen uw PMS en POS beveiligen. Oracle OPERA is een cloudgebaseerd vastgoedbeheersysteem dat kan worden geïntegreerd met het Micros-verkooppuntsysteem en met een reeks andere applicaties. Oracle biedt geavanceerde beveiligingsprotocollen, zoals Cloud Security Monitoring Analytics om het platform zowel on-site als in de cloud te monitoren. Oracle-tools omvatten ook:
Cloud Compliance Control (OMC CC) voor het toetsen van de configuraties aan bedrijfseisen of externe regelgeving;
Cloud Access Security Broker (Oracle CASB) om schaduw-IT in de cloud te ontdekken en bedrijfsvereisten te bewaken met betrekking tot het gebruik en de configuratie van Oracle en cloudservices van derden, zoals AWS, Salesforce, Azure, Box enz.;
Identity Cloud Service (Oracle IDCS) voor het leveren van een gebruikersbeheer- en authenticatiesysteem voor on-premises of cloudservices.
Deze beveiligingsprotocollen bewaken wat er in uw interne netwerk gebeurt, evenals eventuele externe aanvallen. Werken met Oracle biedt umeerlaagse beveiliging , gegevensbescherming, veilige transacties en naleving van betalings- en gegevensprivacynormen. Maar, zoals blijkt uit de Sabre-aanval, zijn zelfs deze maatregelen soms niet genoeg. Met de juiste inloggegevens kan iedereen voorbij uw beveiligingssysteem komen.
De juiste technologie is slechts de helft van de vergelijking; in de loop der jaren hebben beveiligingsexperts ook werknemers geïdentificeerd als onderdeel van het probleem. Hotels moeten hun personeel trainen in het omgaan met de beveiliging van persoonlijke informatie, het privacybeleid naleven en de toegangsgegevens van gebruikers regelmatig wijzigen. Deze branche kent een hoog verloop, wat een deel van de reden is waarom werknemers niet altijd de beveiligingsnormen handhaven. Uw accommodatie moet regelmatig info-sec-seminars organiseren om ervoor te zorgen dat alle nieuwe medewerkers worden opgeleid en veteranen op de hoogte blijven van de nieuwste bedreigingen.
Zelfs met een geweldig PMS/POS-systeem en de juiste training is het belangrijk om routinematige penetratietesten en risicobeoordelingen uit te voeren. Er is geen eenduidig antwoord op hoe vaak u uw netwerk moet pentesten, maar experts waarschuwen dat één keer per jaar waarschijnlijk niet vaak genoeg is. Naast het trainen van uw personeel, het up-to-date houden van uw beveiligingssoftware en het investeren in een platform zoals Oracle OPERA dat is geïnvesteerd in cyberbeveiliging, kunt u uw gasten aanmoedigen om een VPN te gebruiken en uit te loggen bij hun wifi-netwerk wanneer ze het niet gebruiken.
