Le secteur de l'hôtellerie et de la restauration est alimenté par des applications mobiles et des sites web. Sans eux, il ne pourrait pas fonctionner aujourd'hui. L'expérience client pratique, à tout moment et en tout lieu, et l'efficacité opérationnelle en amont ne sont que quelques-unes des raisons pour lesquelles les hôtels, les entreprises de restauration, les agences de voyage et de tourisme, les événements et les divertissements, les loisirs et les entreprises de transport ont adopté la technologie numérique à bras ouverts.

Malheureusement, le numérique expose également le secteur à des cybermenaces, en particulier celles qui visent les données de l'industrie des cartes de paiement (PCI). 

Certains hôtels explorent même des systèmes d'entrée sans clé basés sur des applications, qui sont essentiels pour que les clients se sentent en sécurité et protègent leurs biens, mais qui introduisent également une autre surface d'attaque. En outre, les programmes de fidélisation sont des actifs précieux, comparables à des devises, qui exigent des mesures de sécurité rigoureuses. 

On ne saurait trop insister sur l'importance de sécuriser ces actifs numériques, en particulier à la lumière des récentes cyberattaques qui ont visé des marques populaires du secteur de l'hôtellerie et de la restauration. Examinons les vulnérabilités spécifiques à ce secteur.

Les cyber faiblesses du secteur de l'hôtellerie et de la restauration

Étude de cas : La cyberattaque de MGM Resorts

MGM Resorts a été confronté à une cyberattaque de grande ampleur qui a entraîné l'arrêt de l'ensemble de son système. Bien que l'attaque ait principalement visé les serveurs de l'entreprise, ses répercussions se sont étendues aux services basés sur les applications et à l'intégrité des données PCI. Cet incident souligne l'importance de fermer les vecteurs d'attaque sur les serveurs. Et comme les applications mobiles sont plus que jamais utilisées dans l'hôtellerie, cette surface d'attaque croissante doit également être protégée.

Phishing et attaques de logiciels malveillants

Le secteur de l'hôtellerie, y compris les hôtels exploitant des applications mobiles de réservation, est une cible de choix pour les campagnes de phishing et de logiciels malveillants visant à voler des informations personnelles identifiables (PII) et à compromettre la conformité à la norme PCI. Les membres du personnel disposant de droits administratifs et d'un accès général sont particulièrement vulnérables.

Vulnérabilité de l'application de réservation de voyages

Le stockage de données non sécurisé, le cryptage insuffisant des données et les vulnérabilités aux attaques dynamiques d'exécution ne sont que quelques-unes des vulnérabilités des applications de voyage et de tourisme. Ces vulnérabilités peuvent exposer aux cybercriminels des informations sensibles telles que les détails des cartes de crédit, les adresses personnelles et les plans de voyage.

Attaques contre les systèmes de porte basés sur la technologie Bluetooth

L'adoption de systèmes d'entrée sans clé contrôlés par application et basés sur le Bluetooth pour les portes d'hôtel nécessite des défenses solides contre les vecteurs d'attaque connus, et les implémentations doivent être renforcées contre l'ensemble des attaques connues. Ces attaques englobent les attaques par relais, comme celles observées dans les services de voitures mobiles, les attaques par rejeu et les vulnérabilités potentielles des appareils des clients de l'hôtel. Les exploitations de la pile Bluetooth ont été parmi les vulnérabilités zero-day exploitables à distance les plus graves de ces dernières années.

Vulnérabilités du système de porte RFID

De nombreux hôtels utilisent des systèmes de porte basés sur la technologie RFID, qui se sont révélés défectueux, avec des incidents de fuites de clés maîtresses permettant un accès non autorisé sans détection. Ce problème, bien qu'il ne soit pas directement lié à l'application, met en évidence les défis plus larges que pose la cybersécurité dans le secteur de l'hôtellerie et de la restauration.

Menaces persistantes et exploits

Parmi les menaces spécifiques identifiées figurent l'exploitation de la vulnérabilité MOVEit RCE (CVE-2023-34362) et les tactiques d'hameçonnage utilisant des pièces jointes HTML pour le vol d'informations d'identification et la diffusion de logiciels malveillants. Le rapport souligne également le rôle important joué par les attaques par force brute pour obtenir l'accès aux informations d'identification, une tactique qui représente un pourcentage notable des incidents signalés. Ces tactiques soulignent la multiplicité des approches adoptées par les cybercriminels pour cibler le secteur de l'hôtellerie, qu'il s'agisse d'hôtels individuels, de grandes chaînes de restaurants ou de navires de croisière.

Rapport : Rapport de Trustwave sur les menaces pesant sur le secteur de l'hôtellerie et de la restauration

Le rapport de Trustwave sur les menaces de cybersécurité dans le secteur de l'hôtellerie révèle que près d'un tiers des entreprises du secteur de l'hôtellerie ont été victimes d'une violation de données. La recherche a documenté des méthodes d'attaque spécifiques, y compris des attaques par force brute, l'exploitation de vulnérabilités connues et l'attaque de ports ouverts exposés, soulignant le paysage vaste et complexe des menaces de cybersécurité dans le secteur de l'hôtellerie et de la restauration.

L'approche de Verimatrix en matière de sécurité des applications mobiles et de conformité PCI

Les fournisseurs de cybersécurité peuvent jouer un rôle crucial dans la défense contre ces menaces et la garantie de la conformité PCI. Verimatrix est un acteur notable dans ce domaine, offrant des solutions complètes conçues pour protéger les applications mobiles et les sites web contre une variété d'attaques tout en aidant à atteindre et à maintenir la conformité PCI.

  • Durcissement de l'application: Pour contrer le risque d'utilisation des applications comme canal de cyberattaque des services dorsaux (comme le montre l'étude de cas de MGM Resorts), Verimatrix se spécialise dans le durcissement des applications. Il s'agit de mettre en œuvre des mesures de sécurité qui rendent l'exploitation des vulnérabilités de l'application par les attaquants beaucoup plus difficile.
  • Surveillance des attaques: Verimatrix XTD, notre plateforme étendue threat defense , surveille les tentatives d'attaques et les attaques réussies sur les applications, ce qui permet de prendre des contre-mesures précoces et d'évaluer les risques en temps réel. L'attestation des appareils est un élément important de la conformité à la norme PCI, car elle surveille en permanence l'intégrité de l'application et envoie des notifications si l'application a été compromise.
  • Défense contre les attaques de l'homme du milieu (MitM): La suite Verimatrix comprend des défenses contre les attaques MitM, protégeant les données en transit entre une application sur l'appareil d'un utilisateur et les serveurs de l'hôtel. Cette protection est essentielle pour protéger les informations de paiement et les autres données personnelles des utilisateurs.
  • Meilleures pratiques et consultation: Verimatrix va au-delà de l'offre de solutions prêtes à l'emploi en consultant ses clients sur les meilleures pratiques adaptées à leurs technologies et protocoles spécifiques. Cette approche est particulièrement précieuse pour les hôtels qui développent des solutions de clés de chambre in-app, en s'assurant qu'elles sont sécurisées dès le départ.
  • Se concentrer sur les petites surfaces d'attaque: Pour les entités du secteur de l'hôtellerie, qui peuvent avoir une surface d'attaque relativement petite (par exemple, une application pour les réservations d'hôtel sans programme de fidélité), Verimatrix met l'accent sur la valeur qu'elle peut apporter dans la protection contre l'exposition des données PII et la garantie de la conformité, malgré le risque perçu comme plus faible de vol financier direct.

Synthèse

La forte dépendance du secteur de l'hôtellerie à l'égard des plateformes numériques souligne la nécessité d'une posture de cybersécurité solide, en particulier en ce qui concerne la conformité PCI. Les récentes cyberattaques rappellent brutalement la vulnérabilité des hôtels face à toute une série de cybermenaces, qu'il s'agisse d'attaques de serveurs ayant un impact sur des systèmes entiers ou de vulnérabilités dans les sites web et les services basés sur des applications, comme l'entrée dans les chambres ou le traitement des paiements. 

Les fournisseurs de cybersécurité comme Verimatrix proposent des outils et une expertise essentiels pour contrer ces menaces, en se concentrant sur l'attestation des appareils, la défense contre des vecteurs d'attaque spécifiques et l'aide à la conformité. Alors que les hôtels continuent d'innover numériquement, le partenariat avec des fournisseurs de cybersécurité expérimentés sera primordial pour protéger les actifs numériques et maintenir la confiance des clients.