Outubro negro: guia de cibersegurança para hotéis

O outubro negro já passou. As suas consequências, não.

Foi assim que as redes sociais designaram o último mês em matéria de cibersegurança: uma sucessão de vulnerabilidades críticas, correções de emergência e ataques que obrigou grande parte da internet a atualizar servidores com urgência. Não é uma designação oficial. Mas a perceção de que foi um mês particularmente difícil é real.

Este artigo não pretende causar alarme. Queremos ajudar a compreender onde ocorrem realmente as falhas, o que pode ser feito a partir de amanhã e como agir caso um incidente aconteça. Porque pode acontecer. Ao seu hotel, a nós e a qualquer organização.

O que foi o outubro negro (e o que não foi)

O ponto de partida foi o dia 21 de outubro. Nesse dia, a equipa do PHP publicou correções urgentes para duas falhas críticas, denominadas PHP2Shell, com uma gravidade de 9,2 em 10. O PHP é a linguagem utilizada por cerca de 70% dos websites, pelo que a necessidade de corrigir servidores foi global. A Cloudflare chegou a registar milhões de tentativas de explorar a falha após a sua divulgação.

No mesmo dia foram publicadas correções críticas para outras ferramentas amplamente utilizadas, como o Node.js e o GitLab. Dois dias depois, foi divulgada uma terceira vulnerabilidade relacionada com o PHP. A tudo isto somaram-se campanhas de ransomware, fugas de dados e software legítimo manipulado para distribuir malware.

Importa colocar os factos em perspetiva. O facto de o PHP estar presente em 70% dos websites não significa que 70% dos websites tenham sido atacados. Significa que havia muito para atualizar, e num prazo muito curto.

Não é um mês isolado. É uma tendência

O mais relevante do outubro negro não é o que aconteceu em outubro, mas a tendência que lhe está associada. A 24 de outubro, a base de dados de vulnerabilidades de referência (NVD) contabilizava 88 602 vulnerabilidades publicadas em 2026, quase o dobro de todo o ano de 2025. Setembro já tinha registado um recorde, com mais de 15 000 num único mês.

Parte da explicação reside no facto de a inteligência artificial estar a acelerar a deteção de falhas. A médio prazo, é uma boa notícia, porque são corrigidas mais cedo. A curto prazo, implica mais correções, com maior frequência, e menos margem para as adiar.

O alvo já não é o hotel. É a confiança

De 3 a 5 de novembro, o Barcelona Cybersecurity Congress (BCC26) dedicou uma sessão completa à hotelaria. Sascha Maier, responsável pela segurança da informação do SV Group, resumiu-a numa frase.
Não é necessário comprometer o motor de reservas para causar danos. Basta entrar em qualquer ponto da cadeia que liga o hotel ao hóspede: um chat, um e-mail, uma mensagem de WhatsApp, uma ligação de pagamento, a conta de um colaborador ou a de um fornecedor.
O caso do SV Group é ilustrativo. Os seus hóspedes receberam mensagens por WhatsApp com o nome, as datas e referências reais da reserva. A mensagem pedia a verificação urgente da estadia, encaminhava para um website de aparência oficial e terminava com o pedido dos dados do cartão ou de um pagamento de verificação. Perante qualquer hesitação, um falso serviço de apoio insistia. Mais de 800 casos, que a apresentação associou aos dados de reservas expostos numa violação de dados de uma OTA em abril de 2026.

O ransomware também continua ativo. Cinco grupos concentram uma parte visível das vítimas reivindicadas no setor. No entanto, a maioria, 294 de 462, provém de vários grupos de menor dimensão. Não existe uma única ameaça a vigiar.

Pode acontecer a qualquer organização

Importa dizê-lo com clareza: se o seu hotel sofreu um ciberataque, não foi o primeiro nem será o último. Os ataques são hoje lançados por organizações estruturadas, que trabalham por turnos, disponibilizam as suas ferramentas por subscrição e utilizam IA para redigir e-mails sem erros.

Ser vítima de um esquema bem concebido não é sinal de ingenuidade. Num hotel, onde a equipa está preparada para responder rapidamente aos pedidos dos hóspedes, a urgência é precisamente o fator mais explorado.

No BCC26 foram identificados os motivos. A receção reúne cinco condições que a tornam um alvo privilegiado:
São características da função, não de quem a desempenha. O atacante não compromete o sistema: aproveita a disponibilidade de quem recebe. A principal qualidade do setor transforma-se no seu ponto de entrada.

O que realmente agrava um incidente não é tê-lo sofrido. É ocultá-lo, reagir tarde ou não saber a quem recorrer.

Onde ocorrem as falhas (e nem sempre é onde se pensa)

Palavras-passe robustas e autenticação de dois fatores continuam a ser indispensáveis. Já abordámos estes temas num artigo anterior. No entanto, os atacantes procuram há muito formas de os contornar. Estes são os pontos de entrada mais utilizados.

O roubo de sessões através de cookies

Ao iniciar sessão na extranet, no e-mail ou em qualquer ferramenta, o navegador guarda um cookie de sessão para não pedir a palavra-passe de cada vez. Se um malware de roubo de informação (os chamados infostealers) chegar ao equipamento, pode copiar esse cookie. O atacante passa então a aceder como se fosse o utilizador legítimo. Sem palavra-passe. Sem segundo fator.

Não se trata de um caso isolado. Um estudo da NordVPN identificou mais de 52 400 milhões de cookies roubados num único ano. O malware chega habitualmente pelas vias conhecidas: transferências inseguras, falsas atualizações, anúncios enganosos ou anexos.

O que ajuda: terminar sessão em todos os dispositivos perante qualquer anomalia, não manter sessões abertas indefinidamente nos equipamentos partilhados da receção e, em caso de suspeita, alterar as credenciais a partir de um equipamento seguro. Alterar a palavra-passe a partir do computador infetado não resolve o problema.

Extensões aparentemente úteis

Um tradutor, um bloqueador de anúncios, uma ferramenta de captura de ecrã. As extensões do navegador instalam-se com um clique e podem aceder a muito mais informação do que aparentam. No final de outubro foram identificadas 319 extensões maliciosas do Chrome, com 13,4 milhões de instalações. Além disso, uma extensão legítima pode mudar de proprietário e passar a ter um comportamento malicioso através de uma simples atualização.

O que ajuda: nos equipamentos de trabalho, apenas as necessárias. Rever periodicamente o que está instalado, que permissões tem e quem o adicionou.

O falso hóspede

Chega um e-mail de um cliente insatisfeito. Queixa-se de percevejos e envia as fotografias num ficheiro comprimido. A receção quer resolver a situação rapidamente e abre-o. A Microsoft alertou para uma campanha com este procedimento, dirigida ao pessoal de hotéis desde abril de 2026. As fotografias são, na realidade, o malware.

No BCC26 foi apresentada outra variante do mesmo esquema. Um hóspede com uma reserva real de sete noites escreve através do chat da plataforma, obtém um e-mail direto do hotel e refere ter alergias graves a determinados produtos de limpeza. Envia a lista num ficheiro ZIP protegido por palavra-passe e alojado externamente, e sugere que seja aberto num computador com Windows. A história muda, mas o método é o mesmo.

Outra variante conhecida: uma ligação para uma página que imita a verificação de uma OTA, com um falso captcha que pede para premir Windows + R, colar um texto e premir Enter. Nenhum captcha legítimo faz este pedido. Trata-se de uma tentativa de instalar malware.

O que ajuda: garantir que a equipa reconhece a urgência como um sinal de alerta e não como motivo para ignorar procedimentos. E que, em caso de dúvida, confirma por outra via antes de abrir qualquer ficheiro.

A conversa que muda de canal

Os ataques já não se limitam a um único canal. Começam nas mensagens da OTA, continuam por e-mail e terminam no WhatsApp ou numa página de pagamento falsa. Cada mudança leva a conversa para um ambiente menos controlado.
Nem mesmo uma mensagem dentro de uma plataforma oficial constitui garantia. Se a conta que a envia estiver comprometida, a interface é legítima, mas a mensagem não.
O que ajuda: manter um inventário claro dos canais oficiais e comunicá-lo. Tudo o que chegue fora desses canais deve ser verificado antes de qualquer ação.

O software que não é atualizado

O PHP2Shell é um exemplo claro. A correção esteve disponível desde o primeiro dia, mas, no auge da crise, mais de 884 000 sistemas continuavam a funcionar com versões antigas sem suporte oficial. A falha afetava muitos. O risco real recaía sobre quem não atualizou.

O que ajuda: conhecer a tecnologia por detrás do website, do e-mail e das ferramentas do hotel, e perguntar a cada fornecedor como e quando aplica as correções críticas. Não é necessário ter conhecimentos técnicos para fazer esta pergunta. Mas é necessário fazê-la.

Guia prático: doze hábitos a adotar desde já

A maioria não exige um grande orçamento. Todos exigem consistência.

Acessos: quem entra, com que credenciais e até onde

Equipamentos e hábitos: menos pontos de entrada, mais bem protegidos

Uma última ideia apresentada no BCC26: a formação é mais eficaz em pequenas doses. Conteúdos breves e frequentes, com exemplos reais do dia a dia, têm mais impacto do que uma formação anual.

Em caso de incidente: o que fazer nas primeiras horas

Nenhuma organização deseja ter de ativar esse plano. Mas, se for necessário, a ordem das ações é determinante.
Em Portugal, os incidentes podem ser comunicados ao Centro Nacional de Cibersegurança (CNCS). Convém ter estes contactos identificados antes de serem necessários. Uma última recomendação: não responder ao atacante nem pagar qualquer resgate sem aconselhamento profissional.

Uma responsabilidade partilhada

A venda direta assenta numa ideia simples: o hóspede confia no website do hotel o suficiente para nele deixar os seus dados e o seu cartão. Cada fraude que circula com o nome de um hotel, seja o seu ou outro, enfraquece essa confiança em todo o setor.

Por isso, acreditamos que a cibersegurança não pode ser uma competição para ver quem está mais protegido. É um esforço conjunto. Os atacantes partilham ferramentas, listas de palavras-passe e acessos roubados. O setor deve partilhar com a mesma determinação o que é relevante: emitir alertas, avisar quando é detetada uma campanha e tratar o hotel atacado como vítima, e não como responsável.

Hoteleiros, cadeias, fornecedores tecnológicos, canais de distribuição, associações. Todos temos algo a contribuir. E todos temos algo a perder se não o fizermos.

O nosso compromisso

Não afirmamos ser invulneráveis. Nenhuma organização o é. O que podemos partilhar é a forma como trabalhamos para estar preparados.

A nossa tecnologia é desenvolvida internamente e não assenta em PHP, pelo que o PHP2Shell não nos afetou diretamente. Não o referimos como um mérito: a próxima vulnerabilidade pode surgir em qualquer outro componente, e por isso a vigilância é permanente.

Aplicamos ainda medidas como a autenticação de dois fatores por utilizador, a rastreabilidade completa dos acessos e alertas quando uma palavra-passe surge numa fuga de dados pública conhecida. Explicamo-las em mais detalhe neste artigo.

Se tiver dúvidas sobre a segurança do seu canal direto, ou se receber algo que levante suspeitas, contacte-nos. Estamos disponíveis para ajudar.
O outubro negro ficará registado como um mês difícil. O que fizermos a partir de agora determinará se foi também uma lição. Por isso, a nossa mensagem é clara:

Ninguém está imune. Mas ninguém tem de enfrentar esta ameaça sozinho.