Por Fábio Ribeiro, Sales Engineer da WatchGuard para Portugal
A época alta traz todos os anos os mesmos desafios ao setor hoteleiro. Milhares de hóspedes, colaboradores sazonais, fornecedores e parceiros de negócio interagem diariamente com sistemas de reservas, plataformas de gestão, aplicações móveis e programas de fidelização. Essa complexidade operacional torna os hotéis um alvo particularmente apetecível para os cibercriminosos — e a inteligência artificial está a tornar esse alvo ainda mais vulnerável.
A IA não criou um problema novo para a hotelaria: está apenas a acelerar um problema antigo, o dos ataques baseados em identidade. Os atacantes continuam a recorrer ao phishing, ao roubo de credenciais e à engenharia social, mas fazem-no agora com uma velocidade e uma escala sem precedentes. Já não precisam de horas para redigir um email convincente, investigar uma vítima ou testar manualmente credenciais roubadas. A IA permite personalizar campanhas em segundos, analisar grandes volumes de dados públicos, adaptar ataques em tempo real e automatizar boa parte do processo.
Para um setor que depende de pessoal permanente e sazonal, de fornecedores externos e de múltiplas plataformas interligadas, esta mudança tem uma consequência clara: a identidade tornou-se o alvo mais valioso dos atacantes e a primeira linha de defesa das organizações. O verdadeiro desafio não é apenas adotar novas ferramentas de segurança, mas reconhecer que a próxima geração de ataques será mais rápida, automatizada e adaptativa — e que a defesa terá de acompanhar esse ritmo.
A identidade é o novo perímetro de segurança
A transformação digital multiplicou os sistemas a que colaboradores e parceiros acedem: plataformas de gestão hoteleira (PMS), aplicações para hóspedes, sistemas de pagamento, programas de fidelização, portais de wi-fi para hóspedes e soluções na nuvem. Os hotéis operam num ambiente complexo, com pessoal permanente, trabalhadores sazonais, equipas de limpeza, catering, manutenção e prestadores de TI, todos precisando de aceder a sistemas diferentes durante períodos muito específicos. Gerir quem acede a quê, quando e a partir de que dispositivo tornou-se tanto um desafio de negócio como uma questão de cibersegurança.
Por isso, é hoje mais rentável para um atacante roubar credenciais válidas do que explorar uma vulnerabilidade técnica. Uma vez dentro do sistema com uma identidade legítima, o atacante pode mover-se lateralmente pela rede, explorando os mesmos mecanismos de confiança que colaboradores e hóspedes usam todos os dias. Há já exemplos recentes de grupos com apoio estatal a visar redes wi-fi de hotéis precisamente para recolher credenciais de vítimas. A IA não muda esta realidade — apenas torna mais rápido e eficiente encontrar, testar e reutilizar credenciais roubadas.
É fácil assumir que a IA representa uma ameaça nova, mas não é bem assim: a automação só funciona quando encontra maus hábitos para explorar, e esses hábitos continuam surpreendentemente comuns. Estudos recentes sobre higiene cibernética nas organizações mostram que mais de três quartos dos colaboradores admitem reutilizar palavras-passe em várias contas, que uma parte significativa recorre a ferramentas de IA não autorizadas para o seu trabalho, e que a maioria recebe formação sobre phishing apenas uma vez por ano — ou nunca. Estes números mostram que o principal problema não é técnico, é humano: para um atacante que usa IA, cada palavra-passe reutilizada, cada colaborador sem formação e cada ferramenta não autorizada representa uma oportunidade que pode ser explorada automaticamente e em grande escala.
A confiança já não pode depender apenas de uma palavra-passe
Nos últimos meses tem-se falado muito sobre como os cibercriminosos estão a incorporar inteligência artificial nas suas operações. Mas a conversa não devia focar-se apenas em como os atacantes usam a IA — devia focar-se também em como as organizações que se defendem podem tirar partido dela, acelerando tarefas como a caça a ameaças, a validação de controlos de segurança, a identificação de vulnerabilidades e a análise de incidentes. A vantagem competitiva não virá de simplesmente usar IA, mas de a integrar de forma mais rápida e eficaz nas operações de segurança.
Num ambiente em que a identidade se tornou o principal alvo, confiar apenas em credenciais já não é suficiente. A autenticação multifator reduz drasticamente o valor de credenciais comprometidas, ao exigir um segundo fator antes de conceder acesso. Mas a autenticação é só parte da solução: uma abordagem de confiança zero parte de uma premissa mais realista — nenhuma identidade deve ser considerada fiável apenas por ter feito login. Cada pedido de acesso deve ser avaliado tendo em conta o contexto do utilizador, o dispositivo, a localização e o comportamento. Esta abordagem é especialmente relevante para a hotelaria, onde a mobilidade, a rotatividade de pessoal e a colaboração com terceiros fazem parte do dia a dia.
A inteligência artificial não vai substituir os profissionais de cibersegurança, nem eliminar a necessidade de políticas de identidade sólidas e de programas de formação. O que vai fazer é acelerar a velocidade a que ataques e defesas evoluem. Os atacantes vão continuar a usar phishing, roubo de credenciais e engenharia social, porque continuam a funcionar — a diferença é que agora conseguem executá-los mais depressa, torná-los mais personalizados e escalá-los massivamente.
Para os hotéis, a prioridade não deve ser preparar-se para ameaças totalmente novas, mas reforçar os controlos que protegem aquilo que os atacantes mais visam: a identidade digital. As organizações que combinarem autenticação robusta, princípios de confiança zero e capacidades de IA nas suas operações de segurança estarão muito melhor preparadas para responder a ameaças que já não estão apenas a evoluir, mas a aprender e a adaptar-se continuamente.
