Na kratko: Če je spletna stran vašega hotela vdrta, ne gre toliko za začetno stran kot za vse, kar je nanjo vezano: vdelani rezervacijski sistem, trgovino z boni, obrazce za povpraševanja o praznovanjih in konferencah. Preverite stanje popravkov in vdelave, zavarujte dnevnike in goste stvarno opozorite, če bi bili njihovi podatki lahko prizadeti.
Kateri sistemi PHP tečejo v hotelih in gostinstvu
Spletna stran hotela ali restavracije večinoma teče na WordPressu ali drugem CMS-ju PHP. Rezervacijski sistem je pogosto od ponudnika hotelske programske opreme ali upravljavca kanalov (channel manager) in je vdelan s skripto ali iframe. Poleg tega na lastnem strežniku pogosto tečejo trgovina z boni na osnovi WooCommerce, obrazci za povpraševanja o konferencah in porokah, rezervacije miz, prijave na novice in razpisi sezonskih delovnih mest.
Prav mešanica lastnih in tujih gradnikov dela gostinstvo ranljivo: lastni strežnik ne potrebuje vsebovati podatkov o rezervacijah, da ogroža goste. Zadošča, da določa, kam vodi gumb za rezervacijo.
Kateri podatki gostov so na kocki
Prek spletnih strani hotelov tečejo imena, naslovi, telefonske številke, podatki o potovanju in spremljevalci. Povpraševanja pogosto vsebujejo posebne želje, kot so alergije, dostopnost ali prehranske zahteve. Takšni zdravstveni podatki sodijo med posebne kategorije po 9. členu GDPR. V trgovini z boni se dodajo podatki o naročilih in računih.
Podatki o karticah praviloma ležijo pri ponudniku plačil ali v hotelski programski opremi, ne na spletni strani. Kdor pa lahko spremeni JavaScript na lastni strani, lahko bere tudi vnose v obrazcih ali goste pošlje na zavajajoče pristno plačilno stran.
Povpraševanja za konference in dogodke pogosto prihajajo od podjetij in vsebujejo sezname udeležencev, programe poteka in proračune. Povpraševanja za poroke navajajo termine, število gostov in priimke družin. Takšne informacije se redko dojemajo kot občutljive, a so dragocene za ciljne poskuse goljufije, na primer ponarejen račun za predplačilo tik pred prireditvijo. Zato preverite, ali povpraševanja trajno ležijo v podatkovni zbirki spletne strani in ali je to potrebno.
Spletna stran hotela vdrta: tipične posledice za poslovanje
- Ponarejene rezervacijske in plačilne strani: Gostje plačajo goljufom in za to krivijo hotel.
- Ciljna goljufiva sporočila: S pravimi podatki o potovanju ponarejeni plačilni pozivi delujejo verodostojno.
- Izguba neposrednih rezervacij: Googlovo opozorilo ali izpad goste žene k rezervacijskim portalom, za katere plačujete provizijo.
- Ocene: Gostje, ki so bili prevarani, to javno opišejo, ne glede na to, kje je bila napaka.
Po popravku preverite tudi, ali vdelava vašega rezervacijskega sistema še kaže na pravi naslov. Spremenjena skripta ali preusmerjena povezava je v vsakdanu komaj opazna.
Kdo je odgovoren: agencija, ponudnik programske opreme, ponudnik gostovanja?
| Gradnik | Običajno odgovoren | Odprto vprašanje |
|---|---|---|
| Spletna stran hotela in trgovina z boni | agencija in ponudnik gostovanja | Popravek PHP in ponovni zagon potrjena? |
| Rezervacijski sistem | ponudnik hotelske programske opreme | Je vdelava nespremenjena? |
| Hotelska programska oprema v hiši | ponudnik programske opreme ali IT-skrbnik | Povezave s spletno stranjo? |
| Poštni predali recepcije | ponudnik gostovanja ali IT-skrbnik | Neznane preusmeritve? |
Pri hotelskih skupinah in franšiznih obratih se dodajo osrednja pravila. Pogosto glavno stran upravlja centrala, posamezne hiše pa vzdržujejo lastne strani z boni ali dogodki, ki jih nihče osrednje ne spremlja.
Sezonski delavci, deljeni dostopi in boni
V gostinstvu se ekipe pogosto menjajo. Dostopi do spletne strani, trgovine z boni in rezervacijskih platform se na recepciji delijo in se redko spremenijo, ko kdo odide. Po incidentu je treba vse te dostope obnoviti in jih, kjer je mogoče, preklopiti na osebne račune.
Podcenjeno tveganje so boni. Kdor ima dostop do podatkovne zbirke trgovine, lahko prebere kode bonov, spremeni vrednosti ali ustvari lastne kode, ki se unovčijo na recepciji. Po čiščenju dajte preveriti, ali so bili ustvarjeni ali spremenjeni boni, ki jih ni mogoče pripisati nobenemu naročilu. Primerjava z vašim računovodstvom takšne nepravilnosti večinoma hitro pokaže.
Prve ure po opozorilu
- Pri ponudniku gostovanja dajte pisno potrditi, da je PHP na 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 oziroma popravljen in da so bili vsi procesi znova zagnani.
- Brez potrditve: spletno stran zamenjajte s stranjo z obvestilom s telefonom in neposredno povezavo na rezervacijski sistem ponudnika.
- Zavarujte dnevnike od 20. 10. 2026 in preverite vdelave rezervacijskega sistema in plačilnih strani.
- Obvestite ekipo recepcije, da prepozna in dokumentira sumljiva povpraševanja gostov.
- Ob znakih goljufije goste stvarno opozorite. Pomoč pri formulacijah ponuja stran o kriznem komuniciranju.
Kako konkretno pomaga PHP SOS?
- Preverimo stanje popravkov, ponovni zagon in način delovanja vašega spletnega strežnika ter se uskladimo z agencijo in ponudnikom gostovanja.
- Spletno stran, trgovino z boni in vdelave pregledamo glede spremenjenega JavaScripta, tujih preusmeritev in webshellov ter odstranimo škodljivo kodo.
- Preverimo, ali so poštni predali dobili pravila za preusmeritev, ki jih ne poznate.
- Nato na željo vzpostavimo varnostni nadzor, ki javlja spremembe datotek in skript.
Pogosta vprašanja
Ali PHP2Shell prizadene moj rezervacijski sistem?
Številne rezervacijske sisteme upravlja ponudnik, na spletno stran hotela pa so le vdelani. Tedaj je ponudnik odgovoren za svoj strežnik. Vaša lastna spletna stran vseeno ostaja tveganje, ker lahko napadalec tam spremeni vdelavo ali preusmeri na ponarejeno rezervacijsko stran.
Gostje so prejeli čudne plačilne pozive. Ali je to povezano s spletno stranjo?
Mogoče je, dokazati pa je mogoče šele po preverjanju. Takšna sporočila lahko nastanejo tudi prek rezervacijskih platform ali ogroženih poštnih predalov. Zavarujte sporočila, opozorite prizadete goste in dajte preveriti spletno stran, poštne predale in dostope do platform.
Ali smem spletno stran v glavni sezoni izklopiti?
Če popravek PHP ni dokazan, BSI (nemški zvezni urad za informacijsko varnost) priporoča, da se spletne strežnike začasno odklopi z omrežja. Stran z obvestilom s telefonom in neposredno povezavo na rezervacijski sistem ponudnika ohranja poslovanje. Neopazno ogrožena predstavitev v sezoni stane več zaupanja kot nekaj ur vzdrževanja.