Cibercriminosos miram turismo em alta temporada com golpes em reservas

O setor de turismo e entretenimento se prepara para o aumento de reservas e contratações no fim de ano, mas o cibercrime também intensifica suas ações nesse período. Entre dezembro de 2025 e fevereiro de 2026, a Branddi registrou 59.593 casos de uso indevido de grandes marcas de viagem, a maioria em anúncios que levavam a sites falsos. Em setembro de 2026, um grupo que copiava sites de hotéis de Fernando de Noronha foi investigado pelas polícias civis da Paraíba e de Pernambuco, lesando clientes que pagaram por reservas inexistentes.

O problema se agrava com ataques direcionados a funcionários de hotéis. Desde o fim de 2024, a Microsoft monitora uma campanha que se passa pelo Booking.com para enganar recepcionistas. Utilizando a técnica conhecida como ClickFix, criminosos instalam programas que roubam senhas de acesso aos painéis de reserva. Com essas credenciais, enviam mensagens aos hóspedes com detalhes precisos da reserva, solicitando um falso "pagamento de confirmação", o que gera transtornos e prejudica a imagem do estabelecimento.

Golpes originados na gestão de identidade

Marcos Soares, IAM Specialist na PWS Cloud, destaca que muitos incidentes sérios começam com falhas na gestão de identidade e acesso (IAM). Atrasos no desligamento de funcionários temporários, senhas reutilizadas e falta de autenticação de dois fatores são brechas exploradas por criminosos. A recepção inteira utilizando um único usuário, por exemplo, impede a rastreabilidade de ações indevidas.

A alta temporada, especialmente o período de saída de temporários em março, é crítica para a segurança. A falta de um processo automatizado para desativar acessos pode deixar logins ativos, permitindo acessos não autorizados. A gestão do ciclo de vida da identidade – entrada, mudança de função e saída – é fundamental para evitar vulnerabilidades.

O impacto devastador do ransomware e ataques de identidade

O pior cenário é o ataque de ransomware, onde dados são sequestrados. No Brasil, 37% dos ataques de ransomware começaram por e-mail malicioso, o maior índice entre os países pesquisados, segundo o State of Ransomware 2026, da Sophos. Desses, 74% foram ligados a ataques de identidade, com um custo médio de recuperação de US$ 1,05 milhão, sem contar o resgate.

O caso da MGM Resorts em 2023 exemplifica o estrago: reservas, caça-níqueis e sistemas de pagamento ficaram fora do ar por dias, com prejuízo estimado em US$ 100 milhões. O ataque começou com uma simples ligação ao help desk solicitando reset de senha. A violação de dados, segundo a IBM, custa em média R$ 7,44 milhões no Brasil.

Recomendações para proteção antes da alta temporada

Para mitigar esses riscos antes de dezembro, Marcos Soares sugere ações práticas e de curto prazo. A implementação de autenticação multifator (MFA) é crucial para e-mails, painéis de agências online, gateways de pagamento e acessos remotos.

É essencial que acessos de temporários e terceiros tenham data de expiração definida e que o desligamento esteja atrelado ao RH ou à terceirizadora, não a um chamado manual. O fim do uso de contas compartilhadas na recepção, com usuários individuais para cada funcionário, também é recomendado. A configuração do DMARC em p=reject no domínio da empresa impede o envio de e-mails falsos em seu nome, um nível de segurança ainda não atingido por 53% dos 40 maiores sites de viagem do país, segundo a Proofpoint.

O monitoramento de marca e um canal rápido para derrubar sites e perfis falsos são importantes. Além disso, backups isolados e testados, juntamente com um plano de resposta a incidentes ensaiado, são fundamentais. A segurança no turismo não é apenas uma questão técnica, mas parte integrante da experiência do cliente, impactando diretamente a confiança e a reputação do hotel.