Når PMS-leverandøren blir hacket: hva hotellet bør gjøre nå

Denne uka bekreftet en internasjonal leverandør av hotellsystemer at uvedkommende har hentet ut gjestedata fra plattformen. Leverandøren har flere tusen hoteller og overnattingssteder som kunder. Ifølge leverandøren er navn, kontaktinformasjon og bookingdetaljer hentet ut, mens kortdata skal være upåvirket. Dataene brukes allerede i svindelforsøk mot gjester.

Du er ikke uten ansvar selv om innbruddet skjedde hos leverandøren. Etter personvernforordningen er hotellet behandlingsansvarlig for gjestenes data. Leverandøren er databehandler. Det betyr at varslingsplikten, gjestekommunikasjonen og vurderingene ligger hos deg.

Hvorfor dette er farligere enn det høres ut

Lekkede bookingdata gjør svindelen troverdig. Gjestene mottar e-post, SMS eller chatmeldinger som viser til en ekte reservasjon: riktig hotell, riktige datoer, riktig romtype. Lenken fører til en side med bilde av hotellet og rommet de faktisk har booket. Der blir de bedt om å «bekrefte» eller «oppdatere» kortet sitt for å ikke miste reservasjonen.

At kortdata ikke er lekket, hjelper lite når gjesten selv taster inn kortnummeret på en falsk side. Det er derfor tiden teller: svindlerne jobber mens gjestene ennå ikke vet om lekkasjen.

De første 24 timene

Vent ikke på den endelige rapporten fra leverandøren. Disse tiltakene kan du gjøre i dag:

1. Få skriftlig bekreftelse fra leverandøren. Be om hvilke av dine data som er berørt, hvilket tidsrom innbruddet gjaldt, og om tilgangen er stengt. Be også om tilgangslogger for din eiendom.
2. Bytt alle nøkler og passord. Dette gjelder brukere i PMS-et, API-nøkler og integrasjoner mot channel manager, betalingsløsning, dørlåssystem og bookingmotor. Har leverandøren utstedt nye nøkler til integrasjonspartnere, sjekk at alle dine er byttet.
3. Skru på tofaktorautentisering for alle brukere der det finnes. Fjern brukere som ikke lenger skal ha tilgang.
4. Sett opp en felles beskjed til resepsjon og bookingavdeling. Alle som tar telefon eller svarer på e-post må vite hva som har skjedd, og hva de skal svare.
5. Varsle gjestene med kommende og nylige opphold først. De er mest utsatt, fordi svindelen bruker ekte reservasjoner.
6. Sjekk egne kanaler. Se etter falske nettsider, profiler og meldinger i ditt navn. Varsle OTA-ene dine dersom svindlerne bruker deres meldingssystemer.
7. Dokumenter alt. Noter tidspunkt for når du ble kjent med hendelsen, hva du har gjort og hvorfor. Du trenger dette for Datatilsynet.
8. Anmeld svindelforsøk til politiet og ta vare på eksempler på svindelmeldinger som gjester videresender.

Hva loven krever

Du har 72 timer på deg til å melde avviket til Datatilsynet, regnet fra når du ble kjent med det. Fristen gjelder hotellet som behandlingsansvarlig, ikke leverandøren.

| Plikt | Når | Hva | | --- | --- | --- | | Melde til Datatilsynet | Innen 72 timer | Avviksmelding via Datatilsynets nettskjema. Mangler du opplysninger, meld det du vet og etterlever resten. | | Varsle gjestene | Uten ugrunnet opphold | Kreves når avviket gir høy risiko for de berørte. Når dataene allerede brukes til svindel, er terskelen nådd. | | Føre internt avvikslogg | Alltid | Hva skjedde, hvilke data, konsekvenser og tiltak. Gjelder selv om du vurderer at melding ikke trengs. | | Kreve informasjon av leverandøren | Nå | Databehandleren plikter å varsle deg og bistå. Sjekk databehandleravtalen for frister og innhold. |

Er du usikker på om du skal melde, så meld. En avviksmelding som viser seg å være unødvendig koster lite. En som kommer for sent kan koste mye. Merk at denne oversikten er generell informasjon og ikke juridisk rådgivning.

Slik snakker du med gjestene

Vær tidlig, konkret og ærlig. Gjestene tilgir et innbrudd hos en leverandør lettere enn taushet fra hotellet de bodde på. Tre ting må med i varselet:

• Hva som har skjedd, og hvilke opplysninger som er berørt.
• Én tydelig regel: hotellet ber aldri om kortopplysninger via lenke i e-post, SMS eller chat.
• Hva gjesten skal gjøre ved tvil, og hvem de kan kontakte.

Send varselet fra hotellets egen, kjente avsenderadresse. Ikke legg ved lenker til innlogging eller betaling. Da ligner varselet på svindelen du advarer mot.

Eksempeltekst

Emne: Viktig informasjon om din reservasjon hos \[hotellnavn\] Kjære gjest, Vår leverandør av bookingsystem har hatt et datainnbrudd. Navn, kontaktopplysninger og bookingdetaljer for gjester kan være berørt, også for din reservasjon. Etter det vi vet, er kortopplysninger ikke berørt. Svindlere bruker nå slike opplysninger til å sende falske meldinger som viser til ekte reservasjoner og ber om kortbetaling. [Hotellnavn\] ber aldri om kortopplysninger via lenke i e-post, SMS, WhatsApp eller meldinger i bookingportaler. Får du en slik henvendelse, ikke klikk og ikke betal. Ring oss på \[telefonnummer fra egen nettside\] for å sjekke. Har du allerede oppgitt kortopplysninger, kontakt banken din straks for å sperre kortet og bestride belastningen. Vi anbefaler også å anmelde forholdet til politiet. Vi beklager hendelsen. Vi har meldt avviket til Datatilsynet og iverksatt tiltak for å sikre systemene våre. Med vennlig hilsen \[Navn, tittel, hotell\]

Ha også en kort versjon klar for SMS, og et standardsvar resepsjonen kan bruke på telefon.

Når den verste stormen har lagt seg

Innbrudd hos leverandører vil skje igjen. Spørsmålet er hvor mye som ligger åpent når det skjer, og hvor raskt du får vite det.

• Gå gjennom databehandleravtalen. Hvor raskt skal leverandøren varsle deg? Hvilke underleverandører har tilgang til dataene? Hvor lagres de?
• Lagre mindre, kortere. Gjestedata fra opphold for mange år siden er ren risiko. Sett slettefrister og sjekk at de faktisk håndheves.
• Stram inn tilganger. Tofaktor for alle, egne brukere per ansatt, og minst mulig tilgang per integrasjon.
• Beskytt domenet ditt. SPF, DKIM og DMARC gjør det vanskeligere å sende e-post som ser ut til å komme fra hotellet.
• Lær gjestene én fast regel. Sett den i bookingbekreftelsen: hvordan og hvor hotellet ber om betaling, og hvordan det aldri skjer.
• Ha en hendelsesplan. Hvem gjør hva, hvem ringer leverandøren, hvem skriver til gjestene, og hvem melder til Datatilsynet. Øv på den én gang i året.

Til slutt

Ansvaret for gjestenes data kan ikke settes ut, selv om driften av systemet kan det. Hotellene som kommer best ut av denne uka er de som varsler raskt, sier tydelig fra og bruker hendelsen til å stille strengere krav til leverandørene sine.