Na alta temporada, o golpe chega antes do hóspede
Branded content - Todo fim de ano, nas empresas de turismo e entretenimento, a conversa gira em torno de ocupação, ingresso vendido e escala de temporários. Pouca gente lembra que o cibercrime também se prepara para dezembro.
E faz sentido. Quando aumentam as reservas, a venda de ingressos e as contratações, aumenta junto o número de gente com pressa, clicando em link e liberando acesso sem conferir direito. Para quem ataca, é a melhor época do ano.
Entre dezembro de 2025 e fevereiro de 2026, a Branddi registrou 59.593 casos de uso indevido de quatro grandes marcas de viagem que monitora, quase todos em anúncios patrocinados que levavam o cliente para sites falsos. Em setembro de 2026, as polícias civis da Paraíba e de Pernambuco foram atrás de um grupo que copiava sites de hotéis de Fernando de Noronha e cobrava por reservas que não existiam. Muita gente só descobriu o golpe na hora do check-in.
O golpe começa na recepção
Muita gente ainda trata esse tipo de golpe como problema do consumidor, mas boa parte dele começa do lado de dentro do hotel. Desde o fim de 2024, a Microsoft acompanha uma campanha que se passa pelo Booking.com para enganar funcionários de hotéis. O e-mail leva a um falso CAPTCHA, a técnica conhecida como ClickFix, que pede para a pessoa colar um comando no computador. Esse comando instala um programa que rouba senhas.
Com a senha do painel na mão, o criminoso vê as reservas reais e manda mensagem para o hóspede com nome, data e valor certinhos, pedindo um “pagamento de confirmação”. O cliente paga achando que está falando com o hotel, e quem vai ter que se explicar depois é o hotel.
[caption id="attachment_530376" align="alignleft" width="197"] Marcos Soares, IAM Specialist na PWS Cloud.[/caption]
Trabalho há uns dez anos com identidade e acesso, passando por um dos maiores e-commerces da América Latina e por projetos de consultoria em segurança. E o que mais vejo é incidente sério que começa num acesso esquecido: senha reaproveitada, login sem segundo fator, conta de fornecedor que continuou ativa depois que o contrato acabou.
Em IAM a gente chama isso de ciclo de vida da identidade: entrada, mudança de função e saída. Na alta temporada, é na saída que quase sempre dá problema. O temporário vai embora em março e o login dele continua funcionando em abril, porque o desligamento depende de alguém lembrar de abrir um chamado. Outra coisa que ainda é comum é a recepção inteira usando o mesmo usuário. Quando algo dá errado, não tem como saber quem fez o quê.
Quando tudo para
O pior cenário é o ransomware. No Brasil, segundo o State of Ransomware 2026, da Sophos, 37% dos ataques começaram por e-mail malicioso, o maior índice entre os países pesquisados. E 74% das empresas atingidas ligaram o sequestro de dados a um ataque de identidade. A recuperação custou, em média, US$ 1,05 milhão, fora o resgate.
O caso da MGM Resorts, em 2023, mostra bem o tamanho do estrago: reservas online, caça-níqueis, chaves de quarto e maquininhas de cartão fora do ar por dias, com prejuízo estimado pela própria empresa em US$ 100 milhões. E tudo começou com uma ligação para o help desk pedindo reset de senha.
O que eu faria antes de dezembro?
Dá para avançar bastante sem abrir projeto de um ano. Eu começaria por aqui:
MFA no e-mail, nos painéis das agências online (Booking, Expedia e afins), no gateway de pagamento e no acesso remoto.
Temporários e terceiros com acesso criado já com data para expirar, e o desligamento amarrado ao RH ou à terceirizadora, não a um chamado manual.
Fim das contas compartilhadas na recepção: cada pessoa com o seu usuário, mesmo que fique só três meses.
DMARC em p=reject no domínio da empresa, para ninguém conseguir mandar e-mail em nome dela. Um levantamento da Proofpoint mostrou que 53% dos 40 maiores sites de viagem do país ainda não chegaram nesse nível.
Monitoramento de marca e um canal rápido para derrubar sites e perfis falsos.
Backup isolado e restauração testada de verdade, junto com um plano de resposta que já tenha sido ensaiado pelo menos uma vez.
E deixar para depois também tem preço. Pelo Cost of a Data Breach 2026, da IBM, uma violação de dados custa em média R$ 7,44 milhões no Brasil, o maior valor já registrado no país.
No turismo, segurança acaba fazendo parte da experiência do cliente. O hóspede que caiu num golpe em nome do hotel não quer saber se o problema foi no site falso ou no painel invadido. Para ele, quem falhou foi o hotel.
Marcos Soares é IAM Specialist na PWS Cloud, especialista em gestão de identidade e acesso. A PWS Cloud atua com cibersegurança gerenciada e infraestrutura em nuvem.
