Co się wydarzyło? - hotele hi-tech jako nowy plac budowy bezpieczeństwa
Nowoczesne hotele coraz częściej stawiają na technologie cyfrowe: telewizory smart, cyfrowe zamki drzwiowe, tablety do sterowania pokojem i roboty do zameldowania mają uczynić pobyt wygodniejszym. Jednak to usieciowienie tworzy nowe powierzchnie ataku dla cyberprzestępców i złodziei danych. Badacze bezpieczeństwa zdołali już wielokrotnie manipulować elektronicznymi zamkami drzwiowymi i nadużywać telewizorów smart do inwigilacji.
Szczególnie dramatycznie podatność branży pokazują przypadki międzynarodowe, takie jak sieć hotelowa Marriott International: w jednym z największych znanych cyberataków skompromitowano dane nawet 500 milionów gości – w tym dane paszportowe, kontaktowe i informacje o podróżach. Incydenty te uwidaczniają, jak cenna, a zarazem zagrożona jest scyfryzowana infrastruktura hotelowa.
Szczegóły - gdzie powstają luki bezpieczeństwa
Cyfrowe zamki drzwiowe jako słaby punkt
Systemy dostępu RFID są dziś standardem w wielu hotelach i umożliwiają bezkontaktowy dostęp oraz centralne zarządzanie uprawnieniami. Ich bezpieczeństwo zależy jednak silnie od konserwacji technicznej, aktualizacji oprogramowania i poprawnego szyfrowania. Szczególnie głośny był atak na systemy producenta VingCard, przy którym cyfrowe systemy zamknięć w hotelach na całym świecie potencjalnie dało się przeprogramować.
Przestarzały firmware, błędnie skonfigurowane uprawnienia dostępu lub nieuważne obchodzenie się z kartami-kluczami mogą prowadzić do skopiowania kart lub ich nieuprawnionego użycia. Również czynniki ludzkie – na przykład pozostawienie karty bez nadzoru w pokoju – znacznie zwiększają ryzyko.
Hotelowe Wi-Fi i terminale publiczne
Bezpłatne Wi-Fi należy do podstawowego wyposażenia nowoczesnych hoteli, niesie jednak ze sobą znaczne ryzyka bezpieczeństwa. Podrobione sieci Wi-Fi („evil twins") lub źle skonfigurowane routery mogą umożliwić atakującym przechwytywanie ruchu danych, odczytywanie haseł lub wprowadzanie złośliwego oprogramowania.
Publiczne komputery w lobby lub przy terminalach samoobsługowych stanowią dodatkowe ryzyko: wprowadzanie haseł, danych karty kredytowej lub dokumentów osobistych może prowadzić do kradzieży danych, jeśli urządzenia nie są regularnie resetowane lub zabezpieczane.
Telewizory smart i usieciowione wyposażenie pokoju
Telewizory smart, tablety i cyfrowi asystenci głosowi w pokojach hotelowych oferują komfort dzięki usługom streamingowym i sterowaniu pokojem, niosą jednak znaczne ryzyka. Wiele urządzeń zapisuje dane logowania, historię streamingu, połączenia Wi-Fi i sparowane smartfony. Eksperci IT wykazali, że źle zabezpieczone telewizory smart mogą ujawniać dane osobowe lub być nadużywane do inwigilacji.
Kamery i mikrofony zwiększają niebezpieczeństwo nieuprawnionych nagrań. Przestarzałe oprogramowanie może zawierać luki bezpieczeństwa umożliwiające atakującym dostęp do danych wrażliwych.
Porty USB i juice jacking
Pozornie nieszkodliwe złącza ładowania USB w pokojach hotelowych niosą niedoceniane ryzyko: przy tak zwanym „juice jackingu" zmanipulowane porty mogą przenosić złośliwe oprogramowanie na smartfony. Przed tym ryzykiem wyraźnie ostrzegają organy bezpieczeństwa, takie jak Federalny Urząd Bezpieczeństwa Informatycznego.
Klasyfikacja - dlaczego bezpieczeństwo hoteli dotyczy każdego
Opisane słabe punkty nie są przypadkiem, lecz są immanentne dla systemu. Powstają wszędzie tam, gdzie funkcje komfortowe spotykają się z systemami usieciowionymi – to podstawowa zasada nowoczesnych hoteli. Luki bezpieczeństwa rozwijają się dokładnie na styku techniki, przebiegów organizacyjnych i zachowania ludzi.
Dla branży bezpieczeństwa rysuje się tu rosnący rynek: hotele coraz bardziej potrzebują profesjonalnych rozwiązań bezpieczeństwa wykraczających poza tradycyjne środki ochrony przed włamaniem. Wymagane są przy tym zarówno bezpieczeństwo fizyczne, jak i bezpieczeństwo IT – kombinacja stawiająca nowe wymagania przed usługodawcami z branży bezpieczeństwa.
Wskazówki praktyczne dla gości i operatorów
Zalecenia dla gości hotelowych
- Traktować kartę RFID jak gotówkę i nigdy nie zostawiać jej bez nadzoru
- Korzystać z dodatkowych zabezpieczeń (blokada drzwi, łańcuch), jeśli są dostępne
- Korzystać wyłącznie z oficjalnej sieci Wi-Fi hotelu i potwierdzić jej nazwę w recepcji
- Nie wprowadzać danych wrażliwych przez hotelowe Wi-Fi (bankowość, karty kredytowe)
- Zasłaniać kamery telewizorów smart, dezaktywować mikrofony
- Po wyjeździe usunąć wszystkie dane i powiązania na urządzeniach
- Używać własnych ładowarek zamiast portów USB w pokojach
- Płatności realizować wyłącznie przez sprawdzone, oficjalne terminale
Działania dla operatorów hoteli
- Regularnie aktualizować firmware i oprogramowanie zamków drzwiowych
- Stosować szyfrowanie WPA3 dla Wi-Fi i segmentować sieć
- Wdrożyć automatyczne resetowanie wszystkich urządzeń po każdym gościu
- Regularnie sprawdzać terminale pod kątem manipulacji
- Uwrażliwiać pracowników na ryzyka bezpieczeństwa
- Zdefiniować jasne koncepcje dostępu i uprawnień dla personelu
- Proaktywnie informować gości o bezpiecznym korzystaniu
Perspektywy - przyszłość bezpieczeństwa hoteli
Cyfryzacja hotelarstwa będzie postępować dalej, przez co wzrosną także wymagania bezpieczeństwa. Roboty do zameldowania, usieciowione samochody na wynajem i kolejne urządzenia IoT stworzą dodatkowe powierzchnie ataku. Hotele muszą pojmować bezpieczeństwo jako czynnik konkurencyjny i odpowiednio w nie inwestować.
Przed przedsiębiorstwami ochrony otwierają się nowe obszary biznesowe: integracja bezpieczeństwa fizycznego i cyfrowego staje się kluczową kompetencją. Działania prewencyjne, regularne audyty bezpieczeństwa i szkolenia stają się ważniejsze niż kiedykolwiek. Również wyspecjalizowana technika zabezpieczeń dla hoteli – od bezpiecznych systemów sejfowych po ekranowane rozwiązania komunikacyjne – zyskuje na znaczeniu.
Branża stoi przed zadaniem zapewnienia w równym stopniu komfortu i bezpieczeństwa. Tylko dzięki świadomemu podejściu do ryzyk i profesjonalnym koncepcjom bezpieczeństwa da się wykorzystać zalety cyfryzacji bez narażania gości i operatorów na zbędne niebezpieczeństwa.
