Stručne: Ak bol web vášho hotela hacknutý, ide menej o úvodnú stránku než o všetko, čo na nej visí: vložený rezervačný systém, obchod s poukazmi, formuláre dopytov na oslavy a konferencie. Preverte stav záplat a vloženia, zálohujte logy a hostí vecne upozornite, ak by mohli byť ich údaje dotknuté.
Ktoré systémy PHP bežia v hoteloch a gastronómii
Web hotela alebo reštaurácie beží väčšinou na WordPress alebo inom CMS v PHP. Rezervačný systém pochádza často od poskytovateľa hotelového softvéru alebo channel-managera a je vložený skriptom alebo iframe. Popri tom na vlastnom serveri často bežia obchod s poukazmi na báze WooCommerce, formuláre na dopyty konferencií a svadieb, rezervácie stolov, prihlásenia na newsletter a pracovné ponuky pre sezónu.
Práve zmes vlastných a cudzích súčastí robí pohostinstvo zraniteľným: vlastný server nemusí obsahovať údaje o rezerváciách, aby ohrozil hostí. Stačí, že určuje, kam vedie tlačidlo Rezervovať.
Ktoré údaje hostí sú v stávke
Cez weby hotelov prechádzajú mená, adresy, telefónne čísla, údaje o cestách a sprievodné osoby. Dopyty často obsahujú osobitné želania, ako alergie, bezbariérovosť alebo diétne požiadavky. Takéto zdravotné údaje patria medzi osobitné kategórie podľa čl. 9 GDPR. V obchode s poukazmi pristupujú údaje o objednávkach a faktúrach.
Údaje o kartách sú spravidla u poskytovateľa platieb alebo v hotelovom softvéri, nie na webe. Kto však môže zmeniť JavaScript na vlastnej stránke, môže odpočúvať aj vstupy vo formulároch alebo poslať hostí na klamlivo pravú platobnú stránku.
Dopyty na konferencie a podujatia prichádzajú často od firiem a obsahujú zoznamy účastníkov, programy a rozpočty. Dopyty na svadby uvádzajú termíny, počty hostí a rodinné mená. Takéto informácie sa len zriedka vnímajú ako citlivé, ale sú cenné pre cielené pokusy o podvod, napríklad falošnú zálohovú faktúru krátko pred podujatím. Preverte preto, či dopyty trvalo ležia v databáze webu a či je to nutné.
Hacknutý web hotela: typické následky pre prevádzku
- Falošné rezervačné a platobné stránky: Hostia platia podvodníkom a zodpovednosť pripisujú hotelu.
- Cielené podvodné správy: So skutočnými údajmi o ceste pôsobia falošné výzvy na platbu dôveryhodne.
- Strata priamych rezervácií: Varovanie Google alebo výpadok hostí poženie k rezervačným portálom, ktorým platíte províziu.
- Hodnotenia: Hostia, ktorí boli podvedení, to opisujú verejne, bez ohľadu na to, kde bola chyba.
Po záplate skontrolujte aj to, či vloženie vášho rezervačného systému stále ukazuje na správnu adresu. Zmenený skript alebo presmerovaný odkaz si v bežnej prevádzke sotva niekto všimne.
Kto je zodpovedný: agentúra, poskytovateľ softvéru, poskytovateľ hostingu?
| Súčasť | Typicky zodpovedá | Otvorená otázka |
|---|---|---|
| Web hotela a obchod s poukazmi | agentúra a poskytovateľ hostingu | Záplata PHP a reštart potvrdené? |
| Rezervačný systém | poskytovateľ hotelového softvéru | Je vloženie nezmenené? |
| Hotelový softvér v objekte | poskytovateľ softvéru alebo IT správca | Spojenia s webom? |
| Poštové schránky recepcie | poskytovateľ hostingu alebo IT správca | Neznáme presmerovania? |
Pri hotelových skupinách a franšízových prevádzkach pristupujú centrálne požiadavky. Často prevádzkuje hlavnú stránku centrála, zatiaľ čo jednotlivé hotely udržiavajú vlastné stránky s poukazmi alebo podujatiami, ktoré centrálne nikto nesleduje.
Sezónni pracovníci, zdieľané prístupy a poukazy
V pohostinstve sa tímy často menia. Prístupy k webu, k obchodu s poukazmi a k rezervačným platformám sa zdieľajú na recepcii a zriedka sa menia, keď niekto odíde. Po incidente by sa všetky tieto prístupy mali obnoviť a, kde je to možné, prestavať na osobné účty.
Podceňovaným rizikom sú poukazy. Kto má prístup do databázy obchodu, môže čítať kódy poukazov, meniť hodnoty alebo zakladať vlastné kódy, ktoré sa uplatnia na recepcii. Po vyčistení nechajte preveriť, či neboli založené alebo zmenené poukazy, ktoré sa nedajú priradiť k objednávke. Porovnanie s vaším účtovníctvom takéto nezrovnalosti zvyčajne rýchlo ukáže.
Prvé hodiny po varovaní
- U poskytovateľa hostingu nechať písomne potvrdiť, že PHP je vo verzii 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. záplatované, a že všetky procesy boli reštartované.
- Bez potvrdenia: web nahradiť stránkou s upozornením s telefónom a priamym odkazom na rezervačný systém poskytovateľa.
- Zálohovať logy od 20. 10. 2026 a preveriť vloženia rezervačného systému a platobných stránok.
- Informovať tím recepcie, aby rozpoznal podozrivé otázky hostí a zdokumentoval ich.
- Pri náznakoch podvodu hostí vecne upozorniť. Pomôcky na formulácie ponúka stránka o krízovej komunikácii.
Ako konkrétne pomáha PHP SOS?
- Preveríme stav záplat, reštart a režim prevádzky vášho webového servera a koordinujeme sa s agentúrou a poskytovateľom hostingu.
- Skontrolujeme web, obchod s poukazmi a vloženia na zmenený JavaScript, cudzie presmerovania a webshelly a odstránime škodlivý kód.
- Preveríme, či poštové schránky nedostali pravidlá presmerovania, ktoré nepoznáte.
- Potom na želanie nastavíme bezpečnostný monitoring, ktorý hlási zmeny v súboroch a skriptoch.
Časté otázky
Týka sa PHP2Shell aj môjho rezervačného systému?
Mnohé rezervačné systémy prevádzkuje poskytovateľ a do webu hotela sú len vložené. Potom zodpovedá poskytovateľ za svoj server. Váš vlastný web zostáva napriek tomu rizikom, pretože tam môže útočník zmeniť vloženie alebo presmerovať na falošnú rezervačnú stránku.
Hostia dostali zvláštne výzvy na platbu. Súvisí to s webom?
Je to možné, dokázať sa to dá až po kontrole. Takéto správy môžu vznikať aj cez rezervačné platformy alebo kompromitované poštové schránky. Zálohujte správy, upozornite dotknutých hostí a nechajte skontrolovať web, poštové schránky a prístupy k platformám.
Smiem web vypnúť v hlavnej sezóne?
Ak PHP nie je preukázateľne záplatované, BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webové servery dočasne odpojiť od siete. Stránka s upozornením s telefónom a priamym odkazom na rezervačný systém poskytovateľa udrží prevádzku v chode. Nepozorovane kompromitovaná prezentácia stojí v sezóne viac dôvery než niekoľko hodín údržby.