你身边有闲置的 160 万美元吗？这是安全专家现在估计企业需要从包含恶意软件的网络攻击中恢复的平均数量。
酒店很容易成为黑客的目标。网络安全并不是很多酒店都自信的事情。“去年，关于数据泄露的两个最大的全球报告，Trustwave 的全球安全报告和 Verizon 的数据泄露调查报告，都显示酒店在这一领域继续挣扎。与此同时，Verizon 报告说住宿、食物和住宿占他们案件量的近 54%，”PCI 安全标准委员会的总经理Bob Russo说。
每次酒店的客人记录被泄露，酒店都会承受财务压力，并面临与客人的信任破裂。作为酒店经营者，您无需成为网络安全专家，但您绝对需要了解保护您的业务和客人的基础知识。以下是一些解决酒店网络安全问题并尽可能降低风险的方法。
为什么酒店是黑客的诱人目标
酒店很容易成为黑客的目标，而且有利可图。酒店成为有吸引力的目标有两个原因：首先，许多酒店的网络安全松懈。 “包括酒店运营商在内的所有美国企业中，只有大约 25% 完全符合当前的数据安全最佳实践。这意味着四分之三的灾难不会发生，而且是等待发生的潜在灾难，”Russo 说。
其次，酒店处理大量交易并存储大量客人数据。黑客可以同时瞄准物业的销售点和物业管理系统，以获取支付卡信息以及个人数据，例如护照号码和电子邮件地址。恶意软件可以在同一品牌下不同酒店的 POS 和 PMS 系统之间移动，影响世界各地的客人，没有人比这更聪明。同样，黑客可以在单个财产中瞄准许多访问点。 “2 月份，据报道，在 2010 年以来发生的 21 起最引人注目的酒店公司数据泄露事件中，其中 20 起是由恶意软件影响酒店餐厅、酒吧和零售店的 POS 系统造成的，”说Mark Voortman博士，匹兹堡罗兰商学院信息技术项目负责人。
一家拥有 100 间客房、拥有 50 个座位的餐厅的小型酒店每天仍在处理数百笔独特的付款。这些独特的付款几乎是毫无防备的；很少有酒店拥有必要的安全协议、基础设施和培训，以确保阻止任何相关方窃取客人信息。
什么是恶意软件？定义的关键网络安全概念
了解网络安全的关键概念是成功的一半。以下是您在提高酒店安全性时会遇到的一些常见术语：
网络钓鱼：当诈骗者向您发送电子邮件、短信，甚至给您打电话，试图诱骗您泄露个人信息，然后他们可以用来访问您的银行详细信息或信用卡时，就会发生网络钓鱼。网络钓鱼电子邮件可能看起来像来自您的银行的一条消息，警告您除非您验证您的个人信息，否则它将关闭您的帐户。
加密：加密是一种涉及扰乱数据的安全程序，以便只有被授权阅读它的各方才能理解信息。该过程获取可读数据并对其进行更改，使其看起来是随机的。接收加密信息的一方需要一个密钥来解密数据并将其转换为可读的明文。
VPN： VPN 代表“虚拟专用网络”。 VPN 将掩盖您的 IP 地址，并使您的互联网活动在很大程度上无法追踪。这是确保您的互联网连接安全且私密的绝佳工具。
恶意软件：恶意软件是“恶意软件”的简写。恶意软件旨在访问您的计算机；间谍软件、勒索软件、病毒和特洛伊木马都是不同类型的恶意软件。
渗透测试：渗透测试是网络安全专家试图识别计算机系统中的弱点的过程。专家模拟恶意软件或黑客攻击，以发现不良行为者可以利用的任何漏洞。
APT (Advanced Persistent Threat) ：APT 是最严重的攻击类型，其中不法分子使用“连续、秘密和复杂的黑客技术来访问系统并在内部长时间停留，具有潜在的破坏性结果。”
防病毒：旨在检测和破坏操作系统上的计算机病毒的程序
反恶意软件：与防病毒软件类似，但防病毒软件侧重于较旧/已知的威胁，而反恶意软件通常侧重于较新的未知威胁。恶意软件保护的重点是在未知威胁变成完全成熟病毒之前识别它们。恶意软件删除通常比防病毒软件更难，因为存在更多未知数。
Rootkit： rootkit 是由网络犯罪分子设计的秘密计算机程序，用于提供对计算机的持续特权访问，同时主动隐藏其存在。
键盘记录器：键盘记录器，有时称为击键记录器或系统监视器，是一种监视技术，用于监视和记录在特定计算机键盘上键入的每个击键。键盘记录软件也可用于移动设备，例如 Apple 的 iPhone 和 Android 设备。键盘记录器是一种合法的软件，可以很好地使用，但经常被用作窃取信用卡号码和密码等敏感信息的骗局。
僵尸网络：包含恶意代码的私人受感染计算机网络，在所有者不知情的情况下作为一个群体被控制，例如发送垃圾邮件。
使用 VPN 和加密以及执行定期渗透测试可以确保您的网络免受恶意软件和 APT 攻击。您还应该确保您酒店的 IT 团队定期检查酒店计算机上的击键记录器，并且您的员工不会打开奇怪的电子邮件附件。这些是您必须定期练习的最低限度的安全协议，以避免像酒店行业中这些备受瞩目的黑客攻击这样的灾难。
酒店业中备受瞩目的恶意软件攻击
网络安全公司赛门铁克的研究发现，超过 65% 的酒店经常通过第三方网站泄露预订参考代码。为什么这很重要？因为通过这些代码共享的信息将允许不良行为者登录预订、查看个人详细信息，甚至完全取消预订。发生这种情况时，您的客人信息很容易受到攻击，您可能会破坏客人的关系。
赛门铁克的研究表明，各种规模的酒店都处于危险之中。 HEI Hotels & Resort、喜达屋/万豪等都发生了重大黑客攻击。以下是一些备受瞩目的事件：
HEI酒店及度假村
2016 年，一场数据泄露影响了HEI Hotels & Resorts运营的 20 家美国酒店。这次攻击暴露了数以万计食品和饮料交易的支付卡数据。在酒店的支付系统中发现了恶意软件，该系统用于处理酒店内餐厅、酒吧、水疗中心、大堂商店和其他设施的卡信息。专家确定，黑客可能会窃取客户姓名、帐号、卡到期日期和验证码。
喜达屋/万豪酒店
2019 年 1 月，喜达屋/万豪酒店发现，自 2014 年以来一直入住酒店的客人的个人信息被泄露。大约 5 亿人的客人数据被盗，包括加密的护照号码和信用卡或借记卡号码。 《纽约时报》报道称，黑客可能一直在与中国财政部合作，因为这种规模的攻击非常引人注目。
欧尼酒店及度假村
Omni在 2016 年也受到了恶意软件攻击，影响了 50,000 名客户。该连锁店 60 个地点中有 49 个的借记卡和信用卡信息被盗：包括信用卡和借记卡号码、持卡人姓名、安全代码和到期日期。
凯悦
在 41 家凯悦酒店，黑客在 2015 年以来的第二次攻击中获得了对支付卡信息的未经授权的访问。在第二次攻击中，一位安全专家指出，“凯悦集团在 2015 年 12 月采取的措施可能仍在整个部署中组织，特别是如果这些系统分散在全球各地并且没有通过公共网络连接。在选择系统管理工具集时，您需要实施使用 2048 位证书和双因素身份验证保护的解决方案，但无论端点位于何处都可以正常工作。”
军刀
Sabre 处理全球大约 100,000 家酒店和 70 多家航空公司的预订。该公司是2017 年，恶意攻击者窃取了 Sabre Hospitality Solutions 的 SynXis Central Reservations 系统的凭据。这些凭据提供了对客户数据的访问权限，包括支付卡信息和预订详细信息——客户姓名、电子邮件地址、电话号码和地址。
这些备受瞩目的攻击成为头条新闻，但每个月都会在酒店发生数百起较小的攻击。即使在最近，一场大规模的黑客攻击，比如迈阿密枫丹布鲁的一次，也没有被主流媒体注意到。消息人士称，Fontainbleu 的信用卡系统面临勒索软件攻击，迫使酒店要么通过继续接受信用卡付款来破坏客人数据，要么要求客人以现金付款。客人等待房间长达五个小时，而前台则试图缓解这种情况——一个人将这一场景描述为“混乱。”一位高管告诉《综艺》杂志说：“大堂门口排着长队。”对于枫丹白露这样的五星级酒店来说，这样的事件绝对是品牌毁灭。
如何保护您的酒店恶意软件攻击和网络威胁
确保您的数据安全且没有客人滞留的最佳方法是什么？首先，在选择销售点系统和信用卡处理器时要格外小心。 “应该审查与这些实体的协议，并在可能的情况下进行修改，以增加对外部供应商的保护和最低数据处理标准。遵守支付卡行业数据安全标准 (PCI-DSS) 不仅有助于确保数据安全软件、硬件和实践更安全，还有助于在发生违规行为时防止罚款和处罚，”写道一位专家。
Oracle Hospitality 等企业级提供商可以保护您的 PMS 和 POS 之间易受攻击的链接。 Oracle OPERA是一个基于云的物业管理系统，与 Micros 销售点系统以及一套其他应用程序集成。 Oracle 提供了复杂的安全协议，例如云安全监控分析，用于在现场和云中监控平台。 Oracle 工具还包括：
云合规控制 (OMC CC)，用于根据公司要求或外部法规检查配置；
云访问安全代理 (Oracle CASB)，用于发现云中的影子 IT 并监控企业对 Oracle 和第三方云服务（如 AWS、Salesforce、Azure、Box 等）的使用和配置的要求；
Identity Cloud Service (Oracle IDCS)，用于为本地或云服务提供用户管理和身份验证系统。
这些安全协议监控您的内部网络中发生的事情以及任何外部攻击。与 Oracle 合作可为您提供多层安全性、数据保护、安全交易以及支付和数据隐私标准的合规性。但是，正如 Saber 攻击所证明的那样，有时即使这些措施也不够。使用正确的凭据，任何人都可以通过您的安全系统。
正确的技术只是等式的一半；多年来，安全专家也将员工确定为问题的一部分。酒店必须培训员工处理个人信息安全、遵守隐私政策并定期更改用户访问凭证。这个行业的人员流动率很高，这是员工并不总是保持安全标准的部分原因。您的物业应定期举办信息安全研讨会，以确保所有新员工都接受过培训，退伍军人随时了解最新威胁。
即使拥有出色的 PMS/POS 系统和正确的培训，执行常规渗透测试和风险评估也很重要。关于应该多久对网络进行一次渗透测试，没有直接的答案，但专家警告说，一年一次可能不够频繁。除了培训您的员工、让您的安全软件保持最新状态以及投资于像 Oracle OPERA 这样投资于网络安全的平台之外，您还可以鼓励您的客人使用 VPN 并在不使用 WiFi 时退出其 WiFi。
