# Feltört szálloda-weboldal? IT-biztonság szállodáknak és vendéglátásnak

> Foglalási motor, ajándékutalvány-shop, asztalfoglalás: mit tegyenek a szállodák és a vendéglátás, ha a weboldalt feltörték, vagy a PHP2Shell veszélyezteti.

Forrás: https://phpsos.de/hu/branchen/hotels-gastgewerbe/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Ha a szállodája weboldalát feltörték, az kevésbé a nyitóoldalról szól, mint mindenről, ami hozzá kapcsolódik: a beágyazott foglalási motorról, az ajándékutalvány-shopról, a rendezvények és konferenciák megkereső űrlapjairól. Ellenőrizze a javítási állapotot és a beágyazásokat, mentse a naplókat, és tárgyszerűen figyelmeztesse a vendégeket, ha az ő adataik érintettek lehetnek.

## Milyen PHP-rendszerek futnak szállodákban és vendéglátásban

Egy szálloda vagy étterem weboldala többnyire WordPressen vagy más PHP-s CMS-en fut. A foglalási motor gyakran a szállodai szoftver vagy egy channel manager szolgáltatójától származik, és szkripttel vagy iframe-mel van beágyazva. Emellett a saját szerveren gyakran fut egy [WooCommerce](https://phpsos.de/hu/plattformen/woocommerce/)-alapú ajándékutalvány-shop, űrlapok konferencia- és esküvői megkeresésekhez, asztalfoglalások, hírlevél-feliratkozások és szezonális álláshirdetések.

Éppen a saját és idegen építőelemek keveréke teszi sebezhetővé a vendéglátást: a saját szervernek nem kell tartalmaznia a foglalási adatokat ahhoz, hogy veszélyeztesse a vendégeket. Elég, ha ő határozza meg, hová vezet a foglalás gomb.

## Milyen vendégadatok forognak kockán

A szállodai weboldalakon nevek, címek, telefonszámok, utazási adatok és kísérők haladnak át. A megkeresések gyakran különleges kívánságokat tartalmaznak, például allergiákat, akadálymentességet vagy étrendi előírásokat. Az ilyen egészségügyi adatok a GDPR 9. cikke szerinti különleges kategóriákba tartoznak. Az ajándékutalvány-shopban rendelési és számlázási adatok is vannak.

A kártyaadatok általában a fizetési szolgáltatónál vagy a szállodai szoftverben vannak, nem a weboldalon. Aki azonban a saját oldalon módosítani tudja a JavaScriptet, az az űrlapok beírt adatait is kiolvashatja, vagy a vendégeket megtévesztően hiteles fizetési oldalra küldheti.

A konferencia- és rendezvénymegkeresések gyakran cégektől érkeznek, és résztvevői listákat, programterveket és költségvetéseket tartalmaznak. Az esküvői megkeresések időpontokat, vendégszámokat és családneveket említenek. Az ilyen információkat ritkán érzékelik érzékenynek, a célzott csalási kísérletekhez azonban értékesek, például egy hamis előlegszámlához közvetlenül a rendezvény előtt. Ellenőrizze ezért, hogy a megkeresések tartósan a weboldal adatbázisában vannak-e, és hogy erre szükség van-e.

## Feltört szálloda-weboldal: tipikus következmények az üzemre

- **Hamis foglalási és fizetési oldalak:** a vendégek csalóknak fizetnek, és ezért a szállodát teszik felelőssé.
- **Célzott csalási üzenetek:** valódi utazási adatokkal a hamis fizetési felszólítások hihetőnek tűnnek.
- **Közvetlen foglalások elvesztése:** egy Google-figyelmeztetés vagy kiesés a vendégeket foglalási portálok felé tereli, amelyeknek jutalékot fizet.
- **Értékelések:** a megcsalt vendégek nyilvánosan beszámolnak róla, függetlenül attól, hol volt a hiba.

> **Tipp:**
> Egy javítás után azt is ellenőrizze, hogy a foglalási motor beágyazása még a helyes címre mutat-e. A módosított szkript vagy az átirányított link a mindennapokban alig tűnik fel.

## Ki a felelős: ügynökség, szoftverszolgáltató, tárhelyszolgáltató?

| Építőelem | Tipikusan felelős | Nyitott kérdés |
|---|---|---|
| Szálloda-weboldal és ajándékutalvány-shop | ügynökség és tárhelyszolgáltató | PHP-javítás és újraindítás igazolva? |
| Foglalási motor | a szállodai szoftver szolgáltatója | Változatlan a beágyazás? |
| Szállodai szoftver a házban | szoftverszolgáltató vagy IT-gondozó | Vannak kapcsolatok a weboldal felé? |
| A recepció postafiókjai | tárhelyszolgáltató vagy IT-gondozó | Ismeretlen továbbítások? |

A szállodaláncoknál és franchise-üzemeknél központi előírások is hozzájárulnak. A központ gyakran a főoldalt üzemelteti, míg az egyes házak saját ajándékutalvány- vagy rendezvényoldalakat tartanak fenn, amelyeket senki sem lát központilag.

## Szezonális munkaerő, megosztott hozzáférések és utalványok

A vendéglátásban gyakran cserélődnek a csapatok. A weboldalhoz, az ajándékutalvány-shophoz és a foglalási platformokhoz tartozó hozzáféréseket a recepción megosztják, és ritkán változtatják meg, ha valaki távozik. Egy incidens után ezeket a hozzáféréseket mind meg kell újítani, és ahol lehet, személyes fiókokra kell átállítani.

Alábecsült kockázatot jelentenek az utalványok. Aki hozzáfér a shop adatbázisához, kiolvashatja az utalványkódokat, módosíthatja az értékeket, vagy saját kódokat hozhat létre, amelyeket a recepción beváltanak. A tisztítás után ellenőriztesse, hogy létrehoztak vagy módosítottak-e olyan utalványokat, amelyek egyetlen rendeléshez sem rendelhetők. A könyvelésével való egyeztetés az ilyen szokatlan eseteket többnyire gyorsan megmutatja.

## Az első órák egy figyelmeztetés után

1. Igazoltassa a tárhelyszolgáltatóval írásban, hogy a PHP a 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzión áll, vagy javítva van, és minden folyamat újraindult.
2. Igazolás nélkül: cserélje le a weboldalt egy telefonszámmal és a szolgáltató foglalási motorjára mutató közvetlen linkkel ellátott tájékoztató oldalra.
3. Mentse a naplókat 2026. 10. 20-tól, és ellenőrizze a foglalási motor és a fizetési oldalak beágyazásait.
4. Tájékoztassa a recepciós csapatot, hogy felismerje és dokumentálja a vendégek gyanús visszakérdezéseit.
5. Csalásra utaló jelek esetén tárgyszerűen figyelmeztesse a vendégeket. Megfogalmazási segítséget a [válságkommunikációról](https://phpsos.de/hu/compliance/krisenkommunikation/) szóló oldal kínál.

## Hogyan segít konkrétan a PHP SOS?

- Ellenőrizzük a webszerver javítási állapotát, újraindítását és üzemmódját, és egyeztetünk az ügynökséggel és a tárhelyszolgáltatóval.
- Ellenőrizzük a weboldalt, az ajándékutalvány-shopot és a beágyazásokat módosított JavaScript, idegen átirányítások és webshellek szempontjából, és [eltávolítjuk a kártékony kódot](https://phpsos.de/hu/leistungen/malware-entfernung/).
- Megvizsgáljuk, hogy a postafiókok kaptak-e olyan továbbítási szabályokat, amelyeket Ön nem ismer.
- Ezután kívánságra [biztonsági monitoringot](https://phpsos.de/hu/leistungen/security-monitoring/) állítunk be, amely jelzi a fájlok és szkriptek változásait.


## Gyakori kérdések

**Érinti a PHP2Shell a foglalási motoromat?**  
Sok foglalási motort a szolgáltató üzemeltet, és csak beágyazzák a szálloda weboldalába. Ilyenkor a szolgáltató felel a saját szerveréért. A saját weboldala ennek ellenére kockázat marad, mert a támadó ott módosíthatja a beágyazást, vagy átirányíthat egy hamis foglalási oldalra.

**A vendégek furcsa fizetési felszólításokat kaptak. Összefügg ez a weboldallal?**  
Lehetséges, bizonyítani csak vizsgálat után lehet. Az ilyen üzenetek keletkezhetnek foglalási platformokon vagy feltört postafiókokon keresztül is. Mentse az üzeneteket, figyelmeztesse az érintett vendégeket, és ellenőriztesse a weboldalt, a postafiókokat és a platformhozzáféréseket.

**Kikapcsolhatom a weboldalt a főszezonban?**  
Ha a PHP nem bizonyítottan javított, a BSI (a német szövetségi információbiztonsági hivatal) azt javasolja, hogy a webszervert átmenetileg le kell kapcsolni a hálózatról. Egy telefonszámmal és a szolgáltató foglalási motorjára mutató közvetlen linkkel ellátott tájékoztató oldal működőképesen tartja az üzemet. Egy észrevétlenül feltört megjelenés a szezonban több bizalomba kerül, mint néhány óra karbantartás.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [BSI: figyelmeztetések és ajánlások](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)