10 cách bảo vệ khách sạn khỏi các cuộc tấn công lừa đảo

Chi phí trung bình của một vụ vi phạm dữ liệu trong ngành khách sạn là 3,4 triệu đô la. Và với việc 31% các tổ chức khách sạn báo cáo sự cố dữ liệu vào năm 2023, đó là một lượng lớn thiệt hại tài chính và uy tín trong ngành.

Các cuộc tấn công lừa đảo ngày càng tinh vi hơn, nhưng công nghệ để ngăn chặn chúng cũng vậy. Tuy nhiên, miễn là có sự tham gia của con người, sẽ luôn tồn tại rủi ro. Cuối cùng, các đối tác công nghệ chỉ có thể làm được một phần trong việc ngăn chặn các nỗ lực lừa đảo, và trách nhiệm được chia sẻ với tất cả người dùng để đảm bảo rằng các quy tắc tốt nhất được tuân thủ.

Bạn càng chủ động, bạn càng an toàn. Có một số biện pháp đơn giản mà các nhà quản lý khách sạn có thể thực hiện để bảo vệ bản thân, doanh nghiệp và khách hàng của mình – hãy cùng khám phá chúng.

Các cuộc tấn công lừa đảo là gì?

Lừa đảo là một loại tội phạm mạng liên quan đến việc lừa người khác cung cấp dữ liệu nhạy cảm hoặc cài đặt phần mềm độc hại. Kẻ tấn công sử dụng các email, tin nhắn, cuộc gọi điện thoại hoặc website giả mạo để lừa nạn nhân nhấp vào các liên kết độc hại. Các liên kết này có thể dẫn đến các website đánh cắp thông tin cá nhân, tải xuống phần mềm độc hại hoặc làm hỏng hệ thống.

Đây là một dạng lừa đảo xã hội, trong đó kẻ tấn công giả mạo một thực thể đáng tin cậy (như khách sạn, đối tác công nghệ hoặc CEO) để chiếm được lòng tin của nạn nhân. Email là kênh phổ biến nhất cho các cuộc tấn công lừa đảo trong ngành khách sạn, nhưng ngày càng có nhiều trường hợp công cụ tìm kiếm được sử dụng để quảng cáo các website giả mạo.

Vì sao ngành khách sạn trở thành mục tiêu?

Trước tiên, hãy làm rõ lý do tại sao tin tặc muốn truy cập vào hệ thống của bạn. Câu trả lời rất đơn giản: dữ liệu. Và cuối cùng là lợi ích tài chính.

Các khách sạn (và cả nhà trọ, căn hộ khách sạn,…) lưu trữ hoặc xử lý một lượng lớn dữ liệu cá nhân và tài chính, bao gồm các thông tin như tên, địa chỉ và chi tiết thẻ tín dụng. Dữ liệu này có giá trị thực tế và thường được bán cho các nhóm tội phạm khác, những người sau đó khai thác dữ liệu và sử dụng cho các mục đích xấu.

Một phương pháp phổ biến là gửi email cho khách hàng tương lai, giả danh từ khách sạn, yêu cầu thanh toán cho kỳ lưu trú. Khách hàng không biết gì sẽ thanh toán, và tiền sẽ được chuyển thẳng vào tay kẻ lừa đảo. Đây là một cú đòn kép với mất mát tài chính cho khách hàng (và có thể cả khách sạn) và tổn hại về uy tín, khiến khách khó quay lại khách sạn.

10 cách bảo vệ tài sản khỏi các cuộc tấn công lừa đảo

Tin tốt là có những bước đơn giản, cụ thể mà nhân viên ngành khách sạn có thể thực hiện để tự bảo vệ mình khỏi những kẻ xấu.

Không bao giờ sử dụng công cụ tìm kiếm để truy cập trang đăng nhập

Việc sao chép trang đăng nhập một cách gian lận là một trong những phương pháp phổ biến nhất cho một cuộc tấn công lừa đảo, và việc sử dụng công cụ tìm kiếm để truy cập phần mềm của bạn khiến bạn dễ bị tổn thương.

Giả sử bạn sử dụng hotelpms để đăng nhập vào hệ thống quản lý khách sạn. Tội phạm mạng có thể dễ dàng tạo các trang đăng nhập giả giống hệt nhưng được lưu trữ trên URL của chúng. Chúng sẽ chọn một URL trông giống với URL bạn thường sử dụng – như hotelpms hoặc hotel-pms và trả tiền để website của chúng xếp hạng cao nhất trên công cụ tìm kiếm.

Khi bạn đăng nhập qua cổng thông tin giả, chúng sẽ thu thập thông tin đăng nhập thật của bạn để truy cập dữ liệu.

Đánh dấu các trang đăng nhập chính của bạn

Việc lưu tất cả các URL đăng nhập vào thanh đánh dấu của bạn là một thói quen tốt. Bằng cách này, bạn sẽ luôn truy cập trực tiếp vào trang đăng nhập phần mềm hợp pháp. Điều này cũng nhanh hơn so với tìm kiếm liên kết đúng trong công cụ tìm kiếm.

Hãy chắc chắn rằng bạn có một danh sách cập nhật tất cả các phần mềm khách sạn và URL đúng cho các trang đăng nhập của chúng. Lưu trữ thông tin này trên một nền tảng làm việc nhóm nội bộ để bất kỳ ai trong đội ngũ của bạn cũng có thể dễ dàng truy cập khi cần.

Sử dụng mật khẩu mạnh và độc nhất

Chúng ta đều đã nghe những câu chuyện về việc mọi người sử dụng 1234 làm mật khẩu, hoặc các tùy chọn dễ đoán khác như tên thú cưng hoặc ngày sinh của con cái. Thực tế là mật khẩu của bạn càng đơn giản, hacker càng dễ đoán và chiếm được nó.

Việc sử dụng một mật khẩu độc nhất cũng quan trọng không kém. Nếu bạn sử dụng cùng một mật khẩu cho nhiều đăng nhập, một lỗi bảo mật có thể ảnh hưởng đến nhiều tài khoản và phần mềm. Ví dụ, nếu ai đó truy cập được địa chỉ email cá nhân của bạn, họ sẽ dễ dàng đăng nhập vào PMS, RMS, CRM của bạn…

Bạn hẳn đã biết cách tạo một mật khẩu an toàn, nhưng để nhắc nhở:

– Tạo mật khẩu độc nhất để tránh lây nhiễm mật khẩu.

– Không bao giờ chia sẻ mật khẩu, ngay cả trong nhóm của bạn, và đặc biệt không qua email.

– Sử dụng sự kết hợp của các ký tự, bao gồm chữ hoa và chữ thường, số và ký hiệu.

– Không sử dụng lại mật khẩu trên nhiều ứng dụng.

Sử dụng trình quản lý mật khẩu

Nếu đội ngũ của bạn phải nhớ nhiều đăng nhập và mật khẩu, các trình quản lý mật khẩu như 1Password hoặc LastPass có thể giúp tạo và lưu trữ an toàn các mật khẩu phức tạp, độc nhất cho từng trang mà nhân viên của bạn cần truy cập.

Điều này có nghĩa là bạn chỉ cần nhớ một mật khẩu chính, không chỉ an toàn hơn mà còn tiết kiệm thời gian bằng cách giảm số lần đặt lại mật khẩu bị quên. Trình quản lý mật khẩu cũng có thể tạo các mật khẩu phức tạp hơn mà khó đoán hơn nhiều.

Kích hoạt xác thực hai yếu tố (2FA)

Xác thực hai yếu tố (2FA) thêm một lớp bảo mật bổ sung vào tài khoản của bạn ngoài mật khẩu, yêu cầu một mã duy nhất được gửi đến điện thoại hoặc thiết bị khác của bạn thông qua các ứng dụng như Microsoft Authenticator hoặc Authy. Bạn cũng có thể nhận liên kết đăng nhập qua email (đôi khi được gọi là magic link) thay vì mã. Các liên kết magic link và 2FA rất quan trọng để bảo vệ thông tin đăng nhập của bạn.

Lợi ích lớn của 2FA là ngay cả khi ai đó có mật khẩu của bạn, họ vẫn không thể đăng nhập vào tài khoản mà không có mã. Điều này có nghĩa là ngay cả khi bạn vô tình cung cấp mật khẩu, hacker vẫn không thể truy cập vào bất kỳ thông tin nhạy cảm nào.

Cách tiếp cận này hiện đã trở thành tiêu chuẩn trong nhiều ngành công nghiệp và cũng được chúng tôi sử dụng tại Mews để giữ cho hệ thống của mình an toàn hơn. Nhiều người đã kích hoạt 2FA cho mục đích cá nhân với email hoặc tài khoản mạng xã hội, vì vậy việc xác minh sẽ trở nên quen thuộc và là một phần bình thường của quy trình đăng nhập.

Cài đặt cảnh báo đăng nhập mới

Tùy thuộc vào quy mô tổ chức của bạn, việc theo dõi các đăng nhập đáng ngờ có thể khả thi hoặc không. Tuy nhiên, giống như hầu hết mọi thứ trong thế giới bảo mật, tự động hóa là giải pháp tốt hơn.

Hãy thiết lập các cảnh báo đăng nhập đáng ngờ cho tất cả phần mềm quan trọng của bạn. Bạn sẽ nhận được thông báo khi có ai đó đăng nhập từ một thiết bị mới, điều này thường là dấu hiệu của một cuộc tấn công mạng. Hẳn bạn đã từng nhận email nói rằng: Ai đó đã cố gắng đăng nhập vào tài khoản email của bạn từ địa điểm lạ. Có phải bạn không?

Các công nghệ tiên tiến hơn cũng cung cấp khả năng kiểm soát truy cập dễ dàng, cho phép bạn phê duyệt hoặc từ chối các đăng nhập đáng ngờ. Vì vậy, nếu khách sạn của bạn ở Amsterdam và ai đó cố đăng nhập vào PMS từ Ấn Độ, hệ thống sẽ đưa ra cảnh báo mà bạn có thể xử lý ngay lập tức.

Kiểm tra kỹ địa chỉ email

Một số email lừa đảo rất dễ nhận biết. Nhưng một số khác tinh vi hơn, giả mạo địa chỉ email của người gửi bằng tên quen thuộc như nhà cung cấp phần mềm hoặc ai đó trong doanh nghiệp của bạn. Hãy luôn kiểm tra kỹ địa chỉ thực sự của người gửi – các nhà cung cấp email thường lọc ra những nỗ lực rõ ràng nhất, nhưng một số vẫn có thể lọt qua.

Ngoài ra, điều này cũng áp dụng với các cảnh báo đăng nhập mà chúng tôi vừa đề cập. Những email dạng này cũng có thể là nỗ lực lừa đảo.

Những điều cần lưu ý:

– Lỗi chính tả và ngữ pháp kém.

– Các tệp đính kèm và liên kết.

– Các yêu cầu về thông tin cá nhân hoặc kinh doanh.

– Ngôn ngữ thúc giục bạn hành động khẩn cấp.

Tạo kế hoạch rõ ràng để báo cáo hoạt động đáng ngờ

Nếu một nhân viên lễ tân nghi ngờ một cuộc tấn công lừa đảo, họ nên làm gì? Hãy đảm bảo rằng bạn tạo ra một kế hoạch rõ ràng và ghi chép nó ở một nơi dễ dàng truy cập để tất cả nhân viên biết phải làm gì nếu họ cần báo cáo hoạt động đáng ngờ.

Tốc độ là yếu tố quan trọng khi bảo vệ khỏi các cuộc tấn công mạng. Bạn càng hành động nhanh, thiệt hại tiềm năng sẽ càng được giảm thiểu.

Sử dụng Single Sign On (SSO)

Single Sign On (SSO) là một công cụ bảo mật mạng mạnh mẽ. Điều này cho phép nhân viên của bạn chỉ cần đăng nhập một lần và sau đó có thể truy cập tất cả các hệ thống mà họ cần mà không phải nhớ nhiều mật khẩu.

SSO đơn giản, an toàn và cuối cùng sẽ tiết kiệm thời gian cho bạn. Nó cũng giúp các nhóm IT dễ dàng quản lý quyền truy cập và thực thi các chính sách bảo mật, mang lại cho doanh nghiệp bạn khả năng kiểm soát tốt hơn.

Đào tạo đội ngũ của bạn

Bạn đang tự giáo dục bản thân bằng cách đọc bài viết này, nhưng bạn cần cả đội ngũ của mình phải cảnh giác và đưa ra các lựa chọn thông minh. Điều này đặc biệt quan trọng trong ngành khách sạn, nơi tỷ lệ thay đổi nhân viên diễn ra thường xuyên.

Tổ chức các buổi đào tạo thực hành tốt thường xuyên để đội ngũ của bạn có thể nhận ra các mối đe dọa, từ email lừa đảo đến hoạt động đăng nhập đáng ngờ. Tin tặc liên tục phát triển phương pháp, vì vậy việc cập nhật các xu hướng và cách tiếp cận mới trong lừa đảo là rất quan trọng.

Nếu chẳng may có nhân viên nào đó mắc bẫy một cuộc tấn công lừa đảo, họ cần cảm thấy thoải mái khi báo cáo nhanh chóng. Là nạn nhân không phải là điều đáng xấu hổ, đặc biệt khi hacker có thể rất tinh vi. Nếu nhân viên cảm thấy quá xấu hổ để báo cáo, vấn đề sẽ nhanh chóng trở nên nghiêm trọng hơn.

Hãy tạo ra một môi trường đồng cảm, nơi mọi người cảm thấy có trách nhiệm với hành động của mình, đủ tự tin để lên tiếng mà không bị phê phán. Kẻ gian nhắm mục tiêu con người vì họ dễ thao túng hơn công nghệ – đảm bảo rằng cả đội ngũ của bạn nhận thức được các rủi ro là một trong những điều quan trọng nhất mà bạn có thể làm.

Cảnh giác để an toàn

Lừa đảo và các cuộc tấn công mạng là thực tế không may của thế kỷ 21 và lối sống kết nối của chúng ta – bao gồm cả ngành khách sạn. Bạn không thể ngăn chặn các nỗ lực, nhưng bạn có thể ngăn chúng thành công.

Hãy chủ động và cảnh giác, đó là bước đầu tiên quan trọng trong phòng tuyến bảo vệ của bạn. Sau đó, tuân theo 10 mẹo này và bạn sẽ tiến xa trong việc bảo vệ tài sản và khách hàng của mình khỏi các cuộc tấn công mạng trong tương lai.