网络安全攻击是如何发生的？您可能已经看到（并阻止了）酒店中最常见的一两种网络安全威胁。以下是犯罪分子试图窃取酒店安全数据的一些最常见方式：

• 网络钓鱼攻击：此类攻击始于欺诈性电子邮件、短信或电话，诱骗员工分享敏感信息。例如，您的酒店可能会收到一封看似来自 OTA 的电子邮件，该电子邮件指示您点击链接以防止酒店列表被停用。不了解此类攻击的员工可能会点击该链接并无意中与攻击者分享财务信息或个人数据。

• 勒索软件攻击：在这种攻击中，恶意软件会锁定您的设备，直到支付赎金（通常是一笔加密货币）。这种攻击可能会导致酒店的软件无法使用——长达数天。2023 年，勒索软件攻击袭击了米高梅度假村，导致其系统离线 60 小时，这意味着他们的 PMS 瘫痪，此外还无法制作钥匙卡、收取付款或管理停车。

• 数据泄露：任何敏感信息（如信用卡数据和护照号码）的盗窃都被视为数据泄露。酒店是数据泄露的主要目标，因为它们处理的数据量巨大。万豪酒店在 2018 年遭遇了大规模数据泄露，超过 5 亿客人的个人信息被泄露。

• 内部威胁：虽然许多网络攻击源自受攻击组织之外，但内部攻击也并不罕见。当员工可以广泛访问客人信息、财务数据和密码时，可能会发生数据盗窃或安全漏洞。保持对系统的适当访问控制并定期对员工进行安全协议培训将有助于最大限度地降低内部威胁的风险。

正如我们上面提到的，网络安全攻击确实发生在酒店，而且发生的频率令人遗憾。您可能听说过过去几年成为新闻头条的两起重大网络安全事件：万豪数据泄露事件和米高梅勒索软件攻击事件。

2014 年至 2018 年，万豪酒店遭受网络安全攻击，多达 5 亿名过往客人的个人信息被泄露。黑客获取了地址、电子邮件地址、电话号码，甚至护照号码和信用卡号等数据。这是怎么发生的？万豪酒店表示，这些数据受到保护，但没有加密，因此黑客一旦侵入万豪酒店的预订系统，就可以轻易窃取数据。万豪酒店被罚款近 2400 万美元，该事件已成为历史上最大的数据泄露事件之一。

2023 年 9 月，米高梅遭受了另一种网络安全攻击：勒索软件攻击导致面向客人和后台的系统瘫痪了几天，估计造成了 1 亿美元的收入损失。客人报告了米高梅的钥匙卡、老虎机、自动取款机、停车系统等出现问题——该事件在新闻中广泛报道。目前尚不清楚米高梅是否向攻击者支付了赎金，但凯撒在米高梅遭受攻击之前也遭受了类似的攻击，凯撒向黑客支付了约 1500 万美元的赎金，并达成协议，不会公布被盗数据。

没有哪家酒店愿意成为网络安全攻击的受害者，那么如何防止事件发生呢？好消息是，有一些简单的最佳实践（其中一些您可以立即实施）可以确保您的数据安全并避免成为攻击目标：

• 实施强大的访问控制：在任何包含敏感信息的系统中，您都应配置基于角色的访问权限，以便只有真正需要查看这些数据的员工才能访问这些数据。没有必要要求每个员工都是每个系统的管理员。此外，将多因素身份验证作为标准，以增加额外的安全层。

• 定期举办员工培训课程：在许多情况下，员工会误点击欺诈性电子邮件，因为他们不知道如何识别网络钓鱼企图。确保您的员工能够识别网络钓鱼企图和其他网络威胁，并利用这些培训课程让他们了解酒店最新的网络安全协议。

• 保护客人 WiFi 网络：为了保证酒店敏感数据的安全，酒店应配备两个独立的 WiFi 网络：一个供客人使用，一个供内部使用。内部网络应设置密码保护，禁止任何非贵组织成员使用。

• 加密您的数据：避免像万豪酒店那样，因为数据未加密而面临被盗的风险。无论您是发送或接收敏感数据，还是只是存储数据，您的支付系统和预订数据库都应完全加密。

• 定期进行安全审计：与第三方网络安全供应商合作，评估您的安全风险并定期进行渗透

• 制定事件响应计划：尽管考虑最坏情况从来都不是一件有趣的事情，但制定一个计划来说明您和您的团队如何处理网络安全漏洞是一个好主意。仔细考虑如何快速响应以最大限度地减少影响并在整个事件期间保持酒店正常运营。

哪些工具和技术可以帮助您确保数据安全？至少，您的本地设备应安装防火墙和防病毒软件，以防止危险的恶意软件。入侵检测系统还可以在下载恶意文件或未经授权的用户访问设备时向您发出警报。当您发送或收集访客数据时，使用标记化系统加密数据也是一个明智的想法，从而消除传输过程中数据泄露的可能性。

尽管如此，人工智能驱动的网络安全工具和区块链等新兴技术旨在为许多类型的交易增加更高级别的安全性。这些技术可能会消除对密码和其他潜在易受攻击的访问密钥的需求。

鉴于酒店处理大量敏感的客人数据（从电子邮件地址到护照号码），不仅要保护这些数据，还要遵守当地法规，这一点至关重要。以下几项法规与酒店业特别相关：

• GDPR：《通用数据保护条例》是欧盟的一项法规，规定了公司可以和不可以对个人数据做什么的标准。您可能已经注意到网站会弹出窗口，要求您同意存储 cookie；此同意是最近实施的 GDPR 的结果。拥有为欧洲用户提供服务的网站的公司必须遵守 GDPR，否则将面临法律诉讼。

• CCPA：加州消费者隐私法案以 GDPR 为蓝本，是一项州法规，旨在保证用户知道他们的哪些数据被收集、如何使用、存储在何处以及如何删除这些数据。

• PCI DSS：支付卡行业数据安全标准专门涉及信用卡数据，概述了企业在收集和存储支付信息时应遵循的标准，以及每年验证其是否遵守建议的安全实践。

遵守这些规定将保证您的敏感数据安全并避免受到法律处罚的风险。

现在您知道如何保护酒店数据和数字基础设施的安全，但随着新技术的兴起，您能期待什么呢？一些技术进步肯定需要密切关注安全风险和数据保护。

随着酒店使用更多的物联网 (IoT) 设备（例如智能锁和智能扬声器），需要保护的设备也会越来越多，因此拥有安全的 WiFi 网络和适当的访问控制就变得更加重要。

面部识别和指纹扫描等生物识别安全措施的兴起将导致更加敏感的个人身份信息必须安全传输和存储。然而，生物识别技术可以帮助您更好地控制系统或物理空间的访问权限；密码很容易被共享，但指纹却不能。

数字化宾客体验的转变也导致网络安全风险防范变得更加复杂。例如，无钥匙进入客房有很多优势，但也存在黑客未经授权进入客房的风险。同样，移动入住比在前台排队更快捷、更方便，但这意味着酒店必须更加注意确保客人数据在众多设备和系统中的安全。