A IA Está a Mudar os Ciberataques a Hotéis

A época alta traz todos os anos desafios à indústria hoteleira. Milhares de hóspedes, colaboradores temporários, fornecedores e parceiros de negócio interagem diariamente com sistemas de reservas, plataformas de gestão, aplicações móveis e programas de fidelização. Essa complexidade operacional torna os hotéis um alvo particularmente apetecível para os cibercriminosos.

A inteligência artificial não criou um problema novo para os hotéis — está simplesmente a acelerar um já existente: os ataques baseados em identidade. Os agentes de ameaça continuam a recorrer ao phishing, ao roubo de credenciais e à engenharia social, mas conseguem agora automatizar estas técnicas com uma velocidade e uma escala sem precedentes.

Já não precisam de passar horas a escrever emails convincentes, a investigar vítimas ou a testar manualmente credenciais roubadas. A IA permite aos atacantes personalizar campanhas em segundos, analisar volumes massivos de dados públicos, adaptar os seus ataques em tempo real e até automatizar grande parte do ciclo de vida do ataque.

Para o setor hoteleiro, que depende de colaboradores permanentes e sazonais, fornecedores terceiros e múltiplas plataformas interligadas, esta mudança tem uma consequência clara: a identidade tornou-se o alvo mais valioso dos agentes de ameaça e a primeira linha de defesa das organizações.

É por isso que o verdadeiro desafio não é simplesmente incorporar novas ferramentas de cibersegurança. Significa, sim, reconhecer que a próxima geração de ataques será mais rápida, automatizada e adaptativa, e que os defensores têm de recorrer a tecnologias igualmente avançadas para proteger identidades, detetar comportamentos anómalos e reduzir os tempos de resposta.

A Identidade É o Novo Perímetro de Segurança

A transformação digital multiplicou os sistemas a que colaboradores e parceiros acedem: plataformas de Property Management System (PMS), ferramentas de gestão, aplicações para hóspedes, sistemas de pagamento, programas de fidelização, portais captive de wi-fi para hotelaria e soluções na nuvem.

Os hotéis operam num ambiente complexo, com colaboradores permanentes, trabalhadores sazonais, empresas de limpeza contratadas, equipas de catering, equipas de manutenção e prestadores de TI, todos precisando de aceder a diferentes sistemas durante períodos de tempo muito específicos. Gerir quem acede a quê, quando e a partir de que dispositivo tornou-se tanto um desafio de negócio como uma questão de cibersegurança.

Consequentemente, é muito mais rentável para um atacante roubar credenciais válidas do que explorar uma vulnerabilidade técnica. Uma vez obtido o acesso através de uma identidade legítima, o atacante pode mover-se lateralmente pela rede, explorando os mesmos mecanismos de confiança que colaboradores e hóspedes utilizam todos os dias. Já vimos exemplos recentes disto, com agentes de ameaça apoiados por estados a visar gateways de wi-fi hoteleiros para recolher credenciais de vítimas.

A IA não muda esta realidade — torna simplesmente muito mais rápido e eficiente encontrar, testar e reutilizar credenciais roubadas.

O Problema Não Começa com a Inteligência Artificial

É fácil assumir que a IA representa uma ameaça nova, mas não é esse o caso.

A automação só funciona quando encontra maus hábitos para explorar, e esses hábitos continuam a ser surpreendentemente comuns.

O nosso mais recente Relatório de Higiene de Cibersegurança revela uma realidade preocupante:

• 76% dos colaboradores admitem reutilizar palavras-passe em várias contas.
• 64% utilizam ferramentas de IA não autorizadas para realizar o seu trabalho.
• 71% referem receber formação sobre phishing apenas uma vez por ano — ou nunca.

Estes números demonstram que o principal desafio não é técnico; é humano. Para um atacante que utiliza IA, cada palavra-passe reutilizada, cada colaborador sem formação ou cada ferramenta não autorizada representa uma oportunidade que pode ser explorada de forma automática e à escala.

A IA Também Tem de Trabalhar a Favor dos Defensores

Nos últimos meses, tem-se falado muito sobre a forma como os cibercriminosos estão a incorporar a inteligência artificial nas suas operações.

No entanto, a conversa não se deve centrar apenas na forma como os agentes de ameaça usam a IA, mas também na forma como os defensores a podem aproveitar.

As organizações já podem contar com modelos avançados para acelerar tarefas como:

• Threat hunting (caça a ameaças)
• Validação de controlos de segurança
• Identificação de vulnerabilidades
• Análise de incidentes
• Automatização de testes de segurança

A vantagem competitiva não virá simplesmente do uso da IA, mas sim da sua integração mais rápida e eficaz nas operações de cibersegurança.

A Confiança Já Não Pode Depender Apenas de uma Palavra-Passe

Num ambiente em que a identidade se tornou o alvo principal, confiar apenas em credenciais já não é suficiente.

A autenticação multifator (MFA) reduz drasticamente o valor de credenciais comprometidas, ao exigir um segundo fator antes de conceder o acesso.

No entanto, a autenticação é apenas parte da solução. Uma abordagem de Confiança Zero parte de uma premissa muito mais realista: nenhuma identidade deve ser considerada fiável apenas por ter feito login. Cada pedido de acesso deve ser avaliado tendo em conta o contexto do utilizador, o dispositivo, a localização e o comportamento.

Esta abordagem é especialmente relevante para a indústria hoteleira, onde a mobilidade, a rotatividade de pessoal e a colaboração com terceiros fazem parte das operações diárias.

A Próxima Corrida da Cibersegurança Já Começou

A inteligência artificial não vai substituir os profissionais de cibersegurança. Também não vai eliminar a necessidade de políticas de identidade sólidas e de programas de formação. O que vai fazer é acelerar a velocidade a que tanto os ataques como as defesas evoluem.

Os agentes de ameaça vão continuar a usar phishing, roubo de credenciais e engenharia social, porque continuam a funcionar. A diferença é que agora conseguem executá-los mais depressa, torná-los mais personalizados e escalá-los massivamente.

Para os hotéis, a prioridade não deve ser preparar-se para ameaças totalmente novas, mas sim reforçar os controlos que protegem aquilo que os atacantes mais visam: a identidade digital.

As organizações que combinem autenticação robusta, princípios de Confiança Zero e capacidades de IA para reforçar as suas operações de segurança estarão muito melhor preparadas para responder a ameaças que já não estão apenas a evoluir, mas a aprender e a adaptar-se continuamente.