Sezone i hakiranja: zašto hoteli u srpnju imaju tri puta više sigurnosnih incidenata

Srpanj u hotelu od 400 soba izgleda ovako: popunjenost 94%, recepcija radi non-stop, redovni zaposlenici su na godišnjem odmoru, sezonci čine trećinu tima, IT administrator je na bolovanju, a sve e-mail upite prima privremena recepcija koja nema nikakvu sigurnosnu obuku. Napadač koji ovo zna čeka upravo ovaj tjedan.

VikingCloud je 2024. istražio podatke od tisuća hotela i dokumentirao jasnu sezonsku distribuciju: 82% sjevernoameričkih hotela doživjelo je uspješan kibernetički napad u ljeto 2024. — i 58% od toga napadnuto je pet ili više puta u toj sezoni. Za 2025. godinu, 66% hotelskih IT i sigurnosnih menadžera anticipira daljnji rast frekvencije napada. "Peak season, peak risk" nije marketinška metafora — to je statistički obrazac koji se ponavlja svake godine.

Matematika sezonskog rizika

Napadači koji ciljaju hotelijerski sektor ljeti ne koriste sofisticiranije alate nego zimi. Iskorištavaju ono što je uvijek prisutno, ali u sezoni postaje dramatičnije izraženo: kaotičnost, visoko opterećenje, smanjen nadzor i novi, neiskusni korisnici sustava.

Tipični hotelski IT tim izvan sezone ima dvoje do četvero stručnjaka s jasnom podjelom odgovornosti i kapacitetom za praćenje anomalija. Ljeti, te iste osobe rade na maksimalnom opterećenju uz dramatično povećan volumen help desk zahtjeva. Svaki IT incident u srpnju bori se za pažnju s hrpom urgentnih operativnih problema — pokvareni klima uređaj u sobi 415, problem s Wi-Fi-jem na terasi, kreditna kartica koja ne prolazi.

U srpnju, hotel tipično onboarda 20 do 30% novih korisnika u svoje sustave u roku dva do tri tjedna. Svaki novi korisnički račun je potencijalni vektor napada. Kad je onboarding brz, lozinke su slabe ili zadane, pristupne razine su preširoke jer je lakše dati šire ovlasti nego ciljano ograničene, i IT tim nema kapaciteta pratiti anomalije u broju novih akcesa.

Sezonski zaposlenici: nenamjerni insajderi

Sezonski zaposlenici u hotelima su specifičan sigurnosni vektor koji se rijetko ozbiljno adresira. Nije u pitanju namjerna zlonamjernost — u pitanju je kombinacija neznanja, brzog onboardinga i normalnog ponašanja koje u IT kontekstu postaje rizik.

Recepcionar koji je počeo raditi u ponedjeljak dobiva pristup PMS sustavu u srijedu — jer posao to zahtijeva. Konobar koji radi na terasi ima pristup POS terminalu koji je integriran s istom mrežom kao rezervacijski sustav. Mladi djelatnik koji je za tjedan dana naučio osnove hotelskog softvera nema kontekst za prepoznavanje socijalnog engineeringa — jer nitko mu nije objasnio zašto je to uopće relevantno za njegovu ulogu.

Napadači to znaju i koriste. Phishing e-mailovi koji imitiraju hotelske dobavljače — "vaša Booking.com lozinka je istekla, kliknite za obnovu" ili "urgentna obavijest od Stripe platforme" — imaju statistički više stope otvaranja od strane sezonskog osoblja nego od iskusnih zaposlenika. Help desk prijevare funkcioniraju puno bolje u srpnju nego u siječnju, kad IT admin sjedi 20 metara dalje i može brzo verificirati pozivateljev identitet.

Obrambeni jaz: što hoteli imaju, a što trebaju

Istraživanje VikingCloud iz 2025. otkriva zanimljiv kontrast. Hoteli su relativno dobro pokriveni standardnim, pasivnim zaštitama — 72% ima next-gen antivirus, 70% vatrozid, 66% VPN. Ove mjere su potrebne, ali blokiraju samo poznate prijetnje. Aktivne mjere koje bi detektirale i reagirale na novi napad dramatično nedostaju.

Samo 28% hotela provodi penetracijske testove — simulirane napade koji otkrivaju ranjivosti dok nisu eksploatirane. Samo 26% nadzire dark web za podatke koji su možda već procurili. Samo 40% ima automatizirani backup sustav koji nije direktno spojen s operativnom mrežom.

Razlika između ovih dviju kategorija je razlika između "znamo da imamo zaključana vrata" i "možemo detektirati kad netko pokušava ući i reagirati u realnom vremenu". Vatrozid i antivirus su zaključana vrata. Penetracijski test i dark web monitoring znače aktivno pratiti je li netko već unutra.

Što se može napraviti bez enormnog budžeta

Sezonski IT rizik nije nemoguće adresirati, ali zahtijeva proaktivno planiranje — idealno u zimskim tjednima kada je operativni pritisak manji, ne u lipnju kada je kaos već počeo.

Just-in-time pristup: sezonski zaposlenici dobivaju pristup samo sustavima koji su neophodnim za njihovu specifičnu ulogu, i samo u period kada su zaposleni. Automatska deaktivacija računa na kraju sezonskogugovora nije opcija — treba biti standardni proces.

Dvofaktorska autentikacija za sve korisnike: ne samo za administratore. WhatsApp OTP ili authenticator aplikacija je besplatna i smanjuje rizik od krađe lozinki za 99%. Ovo je mjera s najvećim ROI-em u odnosu na trošak implementacije.

Security onboarding koji traje 30 minuta: ne generički GDPR tekst, nego konkretni, scenario-based trening prilagođen ulozi zaposlenika. "Ovako izgleda phishing e-mail koji imitira Booking.com" s primjerom koji se može vidjeti i zapamtiti. Mozak pamti konkretne primjere, ne apstraktna upozorenja.

Incident response plan za sezonu: tko se zove u slučaju napada u srpnju u 2 ujutro? Tko ima ovlasti zaustaviti sustave? Koje su prve tri akcije? Ove odluke moraju biti dokumentirane i poznate relevantnim osobama u siječnju, ne improvizacijom u srpnju.

Hrvatska bilježi rekorde turističkih posjeta svake sezone. Iza svake rezervacije stoje osobni podaci koji čekaju u nečijem PMS-u. Pitanje nije hoće li napad doći — pitanje je tko će biti spreman kad dođe.

---

Izvori i dodatno čitanje

• VikingCloud: 82% of North American Hotels Hit with Cyberattack Last Summer (2024)
• Peak Season, Peak Risk: The 2025 State of Hospitality Cyber Report — VikingCloud
• Peak Season, Peak Risks: Most US Hotels Expect Cyberattacks This Summer — CyberNews
• Cyber Threats Surge: Hotels on Alert This Summer — Asian Hospitality
• Report: Increase in Hotel Cyberattacks Expected This Summer — Hotel Business