Каждая восьмая утечка информации приходится на сферу гостеприимства

Почему гостиницы и турфирмы так привлекательны для злоумышленников? В базах данных таких компаний хранится огромное количество информации об адресах, платежеспособности и личности их клиентов. Гостиницы и туристические фирмы — одни из основных источников краденых номеров кредитных и дебетовых карт. Обычно их системы безопасности защищены не так хорошо, как, например, у предприятий в финансовом и страховом секторе, поэтому в глазах злоумышленников они являются более уязвимой целью.

Один из первых громких случаев массовой утечки данных связан как раз с похищением информации в сфере гостеприимства. В 2006 году были скомпрометированы данные 234000 пользователей сайта Hotels.com. А совсем недавно, в мае 2015, взломаны были системы казино и отеля Hard Rock в Лас-Вегасе. Преступники получили доступ к информации о банковских картах посетителей заведения. На протяжении пяти месяцев вредоносное ПО находилось в системе и незаметно «сливало» данные злоумышленникам.

На данные о платежных картах приходится в среднем 90% от общего количества всей украденной информации. В последние годы эта цифра уменьшается, однако вероятность утечки лишь растет. Если раньше для получения таких данных злоумышленники использовали скимминг, то есть похищали данные непосредственно с терминалов и платежных устройств, то в связи с массовым переходом на пластиковые карты с чипом, им приходится применять другие способы, чтобы овладеть столь ценной информацией. Одним из таких способов как раз и является получение доступа к платежным данным жертв через сервисы сферы гостеприимства.

Помимо угрозы похищения платежных данных, большую опасность для такого бизнеса представляют конкуренты. База клиентов — основной актив любой туристической компании, и переход этого актива к конкурентной фирме представляет собой большой удар по благополучию организации. Здесь уже основную опасность представляют не действия злоумышленников извне, а активность инсайдеров. Например, в 2013 году комиссия ФАС в Иркутске вынесла решение о недобросовестной конкуренции туристических агентств. Двое менеджеров фирмы «Кимлан» рассылали рекламные сообщения по клиентской базе, украденной у предыдущего работодателя и, по сути, действовали от имени ООО «Сириус СВ». Сообщения были составлены таким образом, чтобы получатели не догадались, что услуги предлагает не та компания, которой они привыкли доверять, а совсем другой туроператор. При этом злоумышленники были привлечены к ответственности за недобросовестную конкуренцию, а не за кражу базы данных. К сожалению, подобных нарушителей практически невозможно уличить в преступлении и привлечь к ответственности. Но в опыте работы компании Falcongaze есть и случаи с благоприятным исходом подобных инцидентов. В начале этого года извещенная о скором прекращении трудового договора сотрудница решила забрать с собой клиентскую базу туристического агентства, в котором была установлена система SecureTower. О ее нежелательных действиях стало известно, когда она попыталась выслать базу себе на адрес личной электронной почты. Сотрудница была уведомлена о возможности судебного преследования по факту кражи корпоративной информации и от своих намерений отказалась.

Вероятность утечки информации растет вместе с увеличением количества онлайн-функций в деятельности компании. Бронирование номеров, резервирование билетов, заказ путевок — обойтись без интернета в современной сфере гостеприимства невозможно. Высокая конкуренция вынуждает компании предоставлять клиентам максимально возможный спектр услуг — от онлайн-заказа до бесплатного интернета в номере. И, естественно, это негативно сказывается на защите персональных данных. Тенденция, к сожалению, такова, что чем удобнее сервис становится для клиента, тем больше возможностей у злоумышленника похитить данные.

Немаловажную роль играет также и человеческий фактор. Например, в августе этого года британская туристическая фирма Thompson случайно отправила своим клиентам электронное письмо c персональными данными почти пятисот клиентов, в том числе домашними адресами и датами путешествий. Компания столкнулась с массовым отзывом путевок, так как покупатели опасались, что жилища в их отсутствие станут легкой добычей для грабителей. Будь в компании установлена эффективная DLP-система, этого инцидента, как и последовавших за ним потерь, удалось бы избежать.

Еще одни относительно новые участники коммерческих процессов в туризме и гостиничном бизнесе – агрегаторы, метапоисковики и букинг-сервисы. Они используют собранную базу гостиниц, авиарейсов или путевок для того, чтобы предоставить пользователю максимально соответствующий его желаниям и возможностям вариант путешествия. Вместо долгого поиска по огромному количеству сайтов, зачастую на иностранном языке, пользователь агрегатора в одном месте получает максимально актуальную информацию. Такие сервисы выступают в роли посредников, но в большинстве случаев не самостоятельно обрабатывают данные и списывают деньги со счетов клиентов, а лишь передают информацию непосредственно компаниям, предоставляющим услуги. Из-за этого использование таких сервисов лишний раз увеличивает количество каналов возможной утечки.

Нельзя не отметить, что в последнее время ситуация с информационной безопасностью в сфере гостеприимства улучшается. В связи со все большей очевидностью рисков утечки, руководство турфирм и гостиниц начинает предпринимать шаги по организации защиты корпоративной информации. Особенно актуальной эта проблема стала в условиях кризиса, ведь в связи с высокой ротацией кадров вероятность утечки через инсайдеров вырастает многократно. Внедрение DLP-систем, контроль за безопасностью интернет-сервисов, повышение технической грамотности и ответственности работников — постепенно владельцы и руководители предприятий осознают необходимость в этих шагах, направленных на защиту бизнеса от негативных последствий утечки информации.