Cibercriminosos miram setor de turismo na alta temporada com golpes sofisticados

O setor de turismo e entretenimento se prepara para o aumento de reservas e vendas com a chegada do fim de ano, mas o cibercrime também intensifica suas ações. Entre dezembro de 2025 e fevereiro de 2026, a Branddi registrou 59.593 casos de uso indevido de grandes marcas de viagem, a maioria em anúncios que direcionavam para sites falsos. Em setembro de 2026, um grupo que copiava sites de hotéis em Fernando de Noronha foi desarticulado pela polícia, lesando consumidores que pagaram por reservas inexistentes.

Os golpes muitas vezes se iniciam internamente nas empresas. Desde o fim de 2024, a Microsoft monitora uma campanha que se passa pelo Booking.com para enganar funcionários de hotéis. Utilizando a técnica conhecida como ClickFix, e-mails maliciosos levam a um falso CAPTCHA que, ao ser preenchido, instala um programa capaz de roubar senhas. Com as credenciais de acesso ao painel de reservas em mãos, criminosos entram em contato com hóspedes, solicitando um "pagamento de confirmação" com dados precisos da reserva, levando o cliente a pagar o golpe.

O ciclo de vida da identidade em risco

Marcos Soares, IAM Specialist na PWS Cloud, destaca que incidentes sérios frequentemente começam com acessos esquecidos ou mal gerenciados. Contas de fornecedores que permanecem ativas após o fim de contratos e senhas reaproveitadas são pontos vulneráveis. O especialista explica que o ciclo de vida da identidade — entrada, mudança de função e saída — é especialmente problemático na alta temporada, na fase de saída.

Temporários contratados para o período podem ter seus acessos mantidos após o desligamento, pois o encerramento depende de um chamado manual. Além disso, a prática de recepções inteiras compartilhando um único usuário dificulta a identificação de responsabilidades em caso de falhas ou atividades indevidas.

Ransomware e o alto custo da recuperação

O pior cenário é o ataque de ransomware. No Brasil, o relatório State of Ransomware 2026, da Sophos, indica que 37% dos ataques começaram por e-mail malicioso, o índice mais alto entre os países pesquisados. Desses, 74% das empresas atingidas ligaram o sequestro de dados a um ataque de identidade. A recuperação desses incidentes custou, em média, US$ 1,05 milhão, sem contar o valor do resgate.

O caso da MGM Resorts em 2023 exemplifica o impacto devastador. Por dias, reservas online, caça-níqueis, chaves de quarto e maquininhas de cartão ficaram fora do ar, resultando em um prejuízo estimado em US$ 100 milhões. O ataque teve início com uma simples ligação ao help desk solicitando reset de senha.

Medidas de segurança para a alta temporada

Para mitigar esses riscos antes de dezembro, Marcos Soares sugere ações práticas que não demandam projetos de longo prazo. A implementação de autenticação multifator (MFA) é recomendada para e-mails, painéis de agências online, gateways de pagamento e acessos remotos.

É essencial que acessos de temporários e terceiros sejam criados com data de expiração e que o desligamento esteja atrelado ao RH ou à terceirizadora, eliminando a dependência de chamados manuais. Contas compartilhadas na recepção devem ser substituídas por usuários individuais. A configuração do DMARC em p=reject no domínio da empresa impede o envio de e-mails em nome da organização, uma medida ainda não adotada por 53% dos 40 maiores sites de viagem do país, segundo a Proofpoint.

O monitoramento de marca e um canal ágil para derrubar sites e perfis falsos também são cruciais. Além disso, backups isolados e testes de restauração, juntamente com um plano de resposta a incidentes ensaiado, são fundamentais. Uma violação de dados custa, em média, R$ 7,44 milhões no Brasil, segundo o Cost of a Data Breach 2026, da IBM.

No turismo, a segurança se confunde com a experiência do cliente. Um hóspede vítima de um golpe em nome do hotel não diferencia a falha no site falso da invasão do painel; para ele, o hotel falhou.