Com a chegada da alta temporada de turismo, o número de golpes cibernéticos contra empresas do setor e seus clientes dispara. Entre dezembro de 2025 e fevereiro de 2026, a Branddi registrou 59.593 casos de uso indevido de grandes marcas de viagem, a maioria em anúncios falsos que direcionavam consumidores para sites fraudulentos. O cenário é agravado pela pressa típica do período de reservas e contratações, levando pessoas a clicar em links suspeitos e a expor dados sem a devida cautela.
O problema, no entanto, não se restringe ao consumidor final. Uma parcela significativa dos golpes tem origem nas próprias empresas de turismo, especialmente em falhas na gestão de identidade e acesso (IAM). A Microsoft, por exemplo, acompanha campanhas que se passam por plataformas de reserva para enganar funcionários de hotéis. Utilizando técnicas como o ClickFix, criminosos instalam softwares maliciosos que roubam senhas de acesso a painéis de controle. Com essas credenciais em mãos, os atacantes conseguem informações precisas sobre reservas e enviam mensagens aos hóspedes solicitando pagamentos de confirmação, levando o cliente a acreditar que está interagindo com o estabelecimento.
Falhas na gestão de identidade abrem portas para cibercriminosos
Marcos Soares, IAM Specialist na PWS Cloud, destaca que incidentes sérios frequentemente começam com acessos esquecidos ou mal gerenciados. Senhas reutilizadas, logins sem autenticação de dois fatores (MFA) e contas de fornecedores que permanecem ativas após o fim de contratos são exemplos comuns de vulnerabilidades. Na alta temporada, a saída de funcionários temporários em março, cujos acessos não são desativados a tempo, representa um risco particular. A prática de recepções inteiras compartilhando um único usuário também dificulta a identificação de responsabilidades em caso de falhas, criando um ambiente propício para fraudes e erros.
Ransomware e o custo da inação para o setor de turismo
O pior cenário em termos de ciberataque é o ransomware. No Brasil, 37% dos ataques em 2026 tiveram origem em e-mails maliciosos, o índice mais alto entre os países pesquisados, segundo a Sophos. Destes, 74% foram associados a ataques de identidade, com custos médios de recuperação de US$ 1,05 milhão, sem contar o resgate. O caso da MGM Resorts em 2023, que sofreu interrupções em reservas, caça-níqueis e acesso a quartos por dias, resultando em prejuízos de US$ 100 milhões, ilustra o impacto devastador. O ataque começou com uma simples ligação ao help desk solicitando reset de senha.
Recomendações para mitigar riscos antes da alta temporada
Para mitigar esses riscos, Soares recomenda ações prioritárias. A implementação de MFA em e-mails, painéis de agências online, gateways de pagamento e acessos remotos é fundamental. Contas de temporários e terceiros devem ter data de expiração definida e seu desligamento atrelado ao RH ou à empresa terceirizada. O fim das contas compartilhadas na recepção, com usuários individuais para cada funcionário, e a configuração do DMARC com política de rejeição (p=reject) no domínio da empresa para impedir e-mails falsos são passos cruciais. Levantamentos indicam que muitos grandes sites de viagem ainda não atingiram esse nível de segurança.
O que observar e as perguntas em aberto
Além das medidas de segurança técnica, o monitoramento de marca para identificar e derrubar sites e perfis falsos rapidamente é essencial. Backups isolados e testes de restauração, juntamente com planos de resposta a incidentes ensaiados, são igualmente importantes. Ignorar essas precauções tem um preço alto: uma violação de dados custa, em média, R$ 7,44 milhões no Brasil, segundo a IBM. No setor de turismo, a segurança da informação se tornou parte integrante da experiência do cliente. Falhas na proteção de dados e a ocorrência de golpes em nome do hotel afetam diretamente a reputação e a confiança do consumidor, independentemente da origem técnica do problema.
A segurança cibernética no setor de turismo exige uma abordagem multifacetada, combinando tecnologia robusta com processos claros de gestão de identidade e acesso. A preparação antecipada para a alta temporada não é apenas uma medida preventiva, mas um investimento na confiança do cliente e na sustentabilidade do negócio. As empresas que negligenciam essa frente correm o risco de sofrer perdas financeiras e danos irreparáveis à sua imagem.
Com reportagem de Brazil Valley
Source · TIInside
