Lyhyesti: Jos hotellinne verkkosivu on hakkeroitu, kyse on vähemmän etusivusta kuin kaikesta siihen liittyvästä: upotetusta varausjärjestelmästä, lahjakorttikaupasta, juhla- ja kokouskyselyjen lomakkeista. Tarkistakaa korjaustila ja upotukset, varmistakaa lokit ja varoittakaa vieraita asiallisesti, jos heidän tietonsa voivat olla vaarantuneet.
Mitä PHP-järjestelmiä hotelleissa ja ravintoloissa on käytössä
Hotellin tai ravintolan verkkosivu toimii yleensä WordPressillä tai muulla PHP-CMS-järjestelmällä. Varausjärjestelmä on usein hotelliohjelmiston tai kanavanhallinnan toimittajan, ja se upotetaan komentosarjalla tai iframella. Lisäksi omalla palvelimella toimii usein WooCommercella toteutettu lahjakorttikauppa, kokous- ja häätiedustelujen lomakkeet, pöytävaraukset, uutiskirjeen tilaukset ja kausityöpaikkailmoitukset.
Juuri oman ja vieraiden osien sekoitus tekee majoitus- ja ravintola-alasta haavoittuvan: oman palvelimen ei tarvitse sisältää varaustietoja vaarantaakseen vieraat. Riittää, että se määrittää, mihin Varaa-painike johtaa.
Mitä vieraiden tietoja on pelissä
Hotellien verkkosivujen kautta kulkevat nimet, osoitteet, puhelinnumerot, matkustustiedot ja matkaseuralaiset. Tiedusteluissa on usein erityistoiveita, kuten allergioita, esteettömyyttä tai ruokavaliota. Tällaiset terveystiedot kuuluvat GDPR:n 9 artiklan mukaisiin erityisiin tietoryhmiin. Lahjakorttikaupassa mukaan tulevat tilaus- ja laskutustiedot.
Korttitiedot ovat yleensä maksupalveluntarjoajalla tai hotelliohjelmistossa, eivät verkkosivulla. Mutta joka pystyy muuttamaan JavaScriptiä omalla sivullaan, voi myös lukea lomakkeiden syötteitä tai ohjata vieraat petollisen aidon näköiselle maksusivulle.
Kokous- ja tapahtumatiedustelut tulevat usein yrityksiltä ja sisältävät osallistujaluetteloita, ohjelmia ja budjetteja. Hääkyselyt mainitsevat päivämääriä, vieraiden määriä ja sukunimiä. Tällaisia tietoja harvoin pidetään arkaluonteisina, mutta ne ovat arvokkaita kohdennetuille petosyrityksille, esimerkiksi väärennetylle ennakkolaskulle juuri ennen tapahtumaa. Tarkistakaa siksi, ovatko tiedustelut pysyvästi verkkosivun tietokannassa ja onko se tarpeen.
Hotellin verkkosivu hakkeroitu: tyypilliset seuraukset toiminnalle
- Väärennetyt varaus- ja maksusivut: Vieraat maksavat huijareille ja pitävät hotellia vastuussa.
- Kohdennetut petosviestit: Todellisten matkatietojen kanssa väärennetyt maksupyynnöt vaikuttavat uskottavilta.
- Suoravarausten menetys: Googlen varoitus tai katkos ajaa vieraat varausportaaleihin, joille maksatte palkkiota.
- Arvostelut: Vieraat, joita on huijattu, kertovat siitä julkisesti riippumatta siitä, missä vika oli.
Tarkistakaa korjauksen jälkeen myös, osoittaako varausjärjestelmänne upotus yhä oikeaan osoitteeseen. Muutettu komentosarja tai uudelleenohjattu linkki jää arjessa lähes huomaamatta.
Kuka vastaa: toimisto, ohjelmistotoimittaja, hosting-yritys?
| Osa | Tyypillisesti vastuussa | Avoin kysymys |
|---|---|---|
| Hotellin verkkosivu ja lahjakorttikauppa | Toimisto ja hosting-yritys | PHP-korjaus ja uudelleenkäynnistys vahvistettu? |
| Varausjärjestelmä | Hotelliohjelmiston toimittaja | Onko upotus muuttumaton? |
| Hotelliohjelmisto talossa | Ohjelmiston toimittaja tai IT-ylläpitäjä | Yhteydet verkkosivuun? |
| Vastaanoton postilaatikot | Hosting-yritys tai IT-ylläpitäjä | Tuntemattomia edelleenlähetyksiä? |
Hotelliketjuissa ja franchise-toiminnassa mukaan tulevat keskitetyt ohjeet. Usein keskusyksikkö ylläpitää pääsivua, kun yksittäiset hotellit ylläpitävät omia lahjakortti- tai tapahtumasivuja, joita kukaan ei seuraa keskitetysti.
Kausityöntekijät, jaetut tunnukset ja lahjakortit
Majoitus- ja ravintola-alalla tiimit vaihtuvat usein. Verkkosivun, lahjakorttikaupan ja varausalustojen tunnukset jaetaan vastaanotossa ja niitä vaihdetaan harvoin, kun joku lähtee. Tapauksen jälkeen kaikki nämä tunnukset tulisi uusia ja siirtää henkilökohtaisiin tileihin, jos se on mahdollista.
Aliarvioitu riski ovat lahjakortit. Joka pääsee kauppatietokantaan, voi lukea lahjakorttikoodeja, muuttaa arvoja tai luoda omia koodeja, jotka lunastetaan vastaanotossa. Teettäkää puhdistuksen jälkeen tarkistus siitä, onko luotu tai muutettu lahjakortteja, joita ei voi yhdistää mihinkään tilaukseen. Vertailu kirjanpitoonne paljastaa tällaiset poikkeamat yleensä nopeasti.
Ensimmäiset tunnit varoituksen jälkeen
- Pyytäkää hosting-yritykseltä kirjallinen vahvistus siitä, että PHP on versiossa 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai korjattu ja että kaikki prosessit on käynnistetty uudelleen.
- Ilman vahvistusta: korvatkaa verkkosivu tiedotussivulla, jossa on puhelinnumero ja suora linkki toimittajan varausjärjestelmään.
- Varmistakaa lokit 20.10.2026 alkaen ja tarkistakaa varausjärjestelmän ja maksusivujen upotukset.
- Informoikaa vastaanoton tiimiä, jotta se tunnistaa vieraiden epäilyttävät tiedustelut ja kirjaa ne.
- Jos on viitteitä petoksesta, varoittakaa vieraita asiallisesti. Muotoiluapua tarjoaa kriisiviestintä-sivu.
Miten PHP SOS auttaa konkreettisesti?
- Tarkistamme verkkopalvelimenne korjaustilan, uudelleenkäynnistyksen ja ajotavan ja sovimme asioista toimiston ja hosting-yrityksen kanssa.
- Tarkastamme verkkosivun, lahjakorttikaupan ja upotukset muutetun JavaScriptin, vieraiden uudelleenohjausten ja web shellien varalta ja poistamme haittakoodin.
- Tarkistamme, ovatko postilaatikot saaneet edelleenlähetyssääntöjä, joita ette tunne.
- Sen jälkeen perustamme halutessanne tietoturvavalvonnan, joka ilmoittaa tiedostojen ja komentosarjojen muutoksista.
Usein kysytyt kysymykset
Koskeeko PHP2Shell varausjärjestelmääni?
Monia varausjärjestelmiä ylläpitää toimittaja, ja ne vain upotetaan hotellin verkkosivulle. Silloin toimittaja vastaa palvelimestaan. Oma verkkosivunne on silti riski, koska hyökkääjä voi siellä muuttaa upotusta tai ohjata väärennetylle varaussivulle.
Vieraat ovat saaneet outoja maksupyyntöjä. Liittyykö se verkkosivuun?
Mahdollista, mutta sen voi todistaa vasta tarkistuksen jälkeen. Tällaisia viestejä voi syntyä myös varausalustojen tai vaarantuneiden postilaatikoiden kautta. Tallentakaa viestit, varoittakaa asianosaisia vieraita ja teettäkää verkkosivun, postilaatikoiden ja alustojen tunnusten tarkistus.
Saanko sulkea verkkosivun sesonkiaikana?
Jos PHP:n korjausta ei voi osoittaa, BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta. Tiedotussivu puhelinnumerolla ja suoralla linkillä toimittajan varausjärjestelmään pitää toiminnan käynnissä. Huomaamatta vaarantunut verkkosivusto maksaa sesongin aikana enemmän luottamusta kuin muutaman tunnin huolto.