Stručně: Pokud byl web vašeho hotelu napaden, nejde tolik o úvodní stránku, jako o vše, co na ni navazuje: vložený rezervační systém, obchod s poukazy, formuláře pro poptávky oslav a konferencí. Zkontrolujte stav záplat a vložení, zajistěte logy a hosty věcně varujte, pokud by jejich data mohla být dotčena.
Jaké systémy PHP běží v hotelích a gastronomii
Web hotelu nebo restaurace běží většinou na WordPressu nebo jiném CMS v PHP. Rezervační systém pochází často od poskytovatele hotelového softwaru nebo channel manageru a vkládá se skriptem nebo iframe. Vedle toho běží na vlastním serveru často obchod s poukazy na základě WooCommerce, formuláře pro poptávky konferencí a svateb, rezervace stolů, přihlášky k odběru newsletteru a sezonní nabídky práce.
Právě směs vlastních a cizích součástí dělá pohostinství zranitelným: vlastní server nemusí obsahovat rezervační data, aby ohrozil hosty. Stačí, že určuje, kam vede tlačítko Rezervovat.
Jaká data hostů jsou v sázce
Přes weby hotelů proudí jména, adresy, telefonní čísla, data cest a doprovázející osoby. Poptávky často obsahují zvláštní přání, jako jsou alergie, bezbariérovost nebo dietní požadavky. Takové zdravotní údaje patří do zvláštních kategorií podle čl. 9 GDPR. V obchodě s poukazy přibývají objednávková a fakturační data.
Data karet leží zpravidla u poskytovatele plateb nebo v hotelovém softwaru, ne na webu. Kdo ale může měnit JavaScript na vlastní stránce, může také číst zadávané údaje ve formulářích nebo posílat hosty na klamavě věrohodnou platební stránku.
Poptávky konferencí a akcí přicházejí často od firem a obsahují seznamy účastníků, programy a rozpočty. Poptávky svateb uvádějí termíny, počty hostů a rodinná jména. Takové informace se zřídka vnímají jako citlivé, ale jsou cenné pro cílené pokusy o podvod, například padělanou fakturu zálohy krátce před akcí. Zkontrolujte proto, zda poptávky trvale leží v databázi webu a zda je to nutné.
Napadený web hotelu: typické následky pro provoz
- Padělané rezervační a platební stránky: Hosté platí podvodníkům a vinu přičítají hotelu.
- Cílené podvodné zprávy: Se skutečnými daty cest působí padělané výzvy k platbě věrohodně.
- Ztráta přímých rezervací: Varování Google nebo výpadek žene hosty k rezervačním portálům, kterým platíte provizi.
- Hodnocení: Hosté, kteří byli podvedeni, to veřejně popíší, bez ohledu na to, kde chyba vznikla.
Po záplatě zkontrolujte také, zda vložení vašeho rezervačního systému stále ukazuje na správnou adresu. Změněný skript nebo přesměrovaný odkaz si v běžném provozu téměř nikdo nevšimne.
Kdo je odpovědný: agentura, poskytovatel softwaru, hosting?
| Součást | Typicky odpovídá | Otevřená otázka |
|---|---|---|
| Web hotelu a obchod s poukazy | agentura a hosting | Potvrzena záplata PHP a restart? |
| Rezervační systém | poskytovatel hotelového softwaru | Je vložení nezměněno? |
| Hotelový software v objektu | poskytovatel softwaru nebo IT správce | Spojení s webem? |
| Poštovní schránky recepce | hosting nebo IT správce | Neznámá přeposílání? |
U hotelových skupin a franšíz přistupují centrální předpisy. Hlavní stránku často provozuje centrála, zatímco jednotlivé provozy mají vlastní stránky s poukazy nebo akcemi, které nikdo centrálně nesleduje.
Sezonní pracovníci, sdílené přístupy a poukazy
V pohostinství se týmy často střídají. Přístupy k webu, k obchodu s poukazy a k rezervačním portálům se sdílejí na recepci a málokdy se mění, když někdo odejde. Po incidentu by měly být všechny tyto přístupy obnoveny a tam, kde je to možné, převedeny na osobní účty.
Podceňovaným rizikem jsou poukazy. Kdo má přístup do databáze obchodu, může číst kódy poukazů, měnit hodnoty nebo zakládat vlastní kódy, které se pak uplatní na recepci. Po vyčištění nechte zkontrolovat, zda nebyly založeny nebo změněny poukazy, které nelze přiřadit k žádné objednávce. Porovnání s vaším účetnictvím takové nesrovnalosti většinou rychle odhalí.
První hodiny po varování
- U hostingu si nechat písemně potvrdit, že PHP je ve verzi 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35 nebo záplatované a všechny procesy byly restartovány.
- Bez potvrzení: nahradit web informační stránkou s telefonem a přímým odkazem na rezervační systém poskytovatele.
- Zajistit logy od 20. 10. 2026 a zkontrolovat vložení rezervačního systému a platebních stránek.
- Informovat tým recepce, aby rozpoznal a zdokumentoval podezřelé dotazy hostů.
- Při náznacích podvodu hosty věcně varovat. Pomoc s formulacemi nabízí stránka o krizové komunikaci.
Jak konkrétně pomáhá PHP SOS?
- Zkontrolujeme stav záplat, restart a provozní režim vašeho webového serveru a domluvíme se s agenturou a hostingem.
- Zkontrolujeme web, obchod s poukazy a vložení na změněný JavaScript, cizí přesměrování a webshelly a odstraníme škodlivý kód.
- Ověříme, zda poštovní schránky nezískaly pravidla pro přeposílání, která neznáte.
- Poté na přání zavedeme bezpečnostní monitoring, který hlásí změny souborů a skriptů.
Časté dotazy
Týká se PHP2Shell mého rezervačního systému?
Mnoho rezervačních systémů provozuje poskytovatel a do webu hotelu se jen vkládají. Pak odpovídá za svůj server poskytovatel. Váš vlastní web přesto zůstává rizikem, protože tam může útočník změnit vložení nebo přesměrovat na falešnou rezervační stránku.
Hosté dostali podivné výzvy k platbě. Souvisí to s webem?
Je to možné, prokázat to lze až po kontrole. Takové zprávy mohou vznikat i přes rezervační portály nebo napadené poštovní schránky. Zprávy zajistěte, dotčené hosty varujte a nechte zkontrolovat web, poštovní schránky a přístupy k portálům.
Smím web vypnout v hlavní sezoně?
Pokud není záplata PHP doložitelně nasazena, BSI (německý spolkový úřad pro informační bezpečnost) doporučuje webové servery dočasně odpojit od sítě. Informační stránka s telefonem a přímým odkazem na rezervační systém poskytovatele udrží provoz v chodu. Nepozorovaně napadená prezentace stojí v sezoně víc důvěry než několik hodin údržby.