Turistički sektor kao meta ransomwarea: MGM, Omni i 100 milijuna razloga za brigu

31. ožujka 2024. recepcija Omni Hotels & Resorts nije mogla prihvatiti rezervacije. Digitalni ključevi soba prestali su raditi u hotelima diljem SAD-a. Platni terminali su offline. Osoblje je rješavalo gostove s papirnim listama i ručnim računima. Lanac s više od 50 hotela i tisuće zaposlenih vratio se u operativni mode iz 1990-ih — ne po vlastitoj volji.

Omni nikad nije službeno potvrdio da se radilo o ransomware napadu, ali razmjer i priroda disrupcije odgovaraju tom scenariju u svakom detalju. MGM Resorts prošao je sličan napad godinu dana ranije — s potvrđenim troškovima od 100 milijuna dolara. Caesars Entertainment platio je 15 milijuna dolara otkupnine istoj hakerskoj grupi. Turistički sektor nije slučajna meta — on je atraktivna meta iz jasnih razloga.

Zašto turizam privlači ransomware grupe

Turistički sektor je idealan za ransomware napade zbog kombinacije faktora koji se rijetko susreću zajedno u drugim industrijama. Hoteli i turistička poduzeća upravljaju golemim količinama osobnih i financijskih podataka — i imaju izrazito nizak prag tolerancije za downtime.

Hotel koji ne može prihvatiti goste gubi novac po satu. Jednom kad sustav za upravljanje rezervacijama padne, svaki sat kompromitira prihode, reputaciju i operativnu sposobnost. Pritisak da se platit otkupnina i brzo vrate online je intenzivan. Napadači to znaju i cijene svoje usluge sukladno.

Paralelno, hoteli su složeni IT ekosustavi koji spajaju desete dobavljača: PMS, POS terminale, restoranski softver, pristup sobama, HVAC sustave, loyalty programe, channel managere, revenue management platforme. Svaka integracija je potencijalni ulaz, a broj dobavljača znači da napadač može ući kroz onaj koji ima najslabu zaštitu — ne nužno kroz sam hotel.

MGM: kako se hakira hotel od 5 milijardi dolara telefonskim pozivom

Scattered Spider — hakerska grupa poznata i kao UNC3944 — hakovala je MGM Resorts u rujnu 2023. metodom koja u svojoj jednostavnosti zapanjuje. Napadač je na LinkedInu pronašao ime MGM-ovog IT administratora, nazvao MGM-ov help desk i — lažno se predstavljajući kao taj zaposlenik koji je "izgubio pristup" — uspio uvjeriti agenta da resetira pristupne podatke.

Cijela operacija trajala je oko 10 minuta razgovora. Posljedice su trajale tjednima. Slotovi u Las Vegas kasinima offline. Rezervacijski sustav down. Pristup sobama poremećen. MGM je prijavio troškove od više od 100 milijuna dolara plus krađu osobnih podataka gostiju, uključujući djelomične podatke o socijalnim osiguranjima i vozačkim dozvolama iz starijih rezervacija.

Caesars Entertainment prošao je sličan napad iste jesen, od iste grupe, istom metodom. Razlika: Caesars je platio 15 milijuna dolara otkupnine (od zahtijevanih 30 milijuna). Vlada SAD-a i FBI upozorili su da plaćanje otkupnine ne garantira povrat podataka — ali Caesars je izračunao da je plaćanje jeftinije od alternative.

82%: broj koji treba stati

VikingCloud istraživanje iz 2024. dokumentiralo je da je 82% sjevernoameričkih hotela doživjelo uspješan kibernapad u ljeto 2024. Svaki šesti hotel bio je napadnut pet ili više puta. 44% hotela iskusilo je downtime dulji od 12 sati; 17% je bilo potpuno offline od jednog do dva dana.

Prosječni trošak kibernetičkog incidenta u ugostiteljstvu dostigao je 4,03 milijuna dolara u 2025. To je prosjek koji uključuje mali obiteljski hotel koji je platio 5.000 eura otkupnine i veliki lanac koji je platio stotine puta više. Ali i 5.000 eura može biti egzistencijalna prijetnja za mali hotel koji ima sezonu od tri ljetna mjeseca.

Ransomware je najzastupljeniji vektor — odgovoran za 44% breacheva u sektoru. Treće strane su involvirane u 17% napada, što je rast od 9 postotnih bodova godišnje. To pokazuje da napadači sve intenzivnije ciljaju dobavljače umjesto direktno hotele — jer dobavljači imaju pristup podacima desetaka ili stotina klijenata, a često slabiju sigurnosnu praksu.

Kako ransomware ulazi u turistički sustav

Zajednički nazivnik gotovo svih uspješnih napada u ovom sektoru nije tehnička sofisticiranost — to je kombinacija phishinga i social engineeringa usmjerenog prema zaposlenicima help deska ili prema trećim dobavljačima. MGM i Caesars napadnuti su telefonskim pozivom. Otelier napadnut je zbog loše konfiguriranog cloud bucketa. Marriott je imao nedetektiranog napadača u mreži četiri godine.

Napadači ciljaju specifično: rezervacijske platforme trećih strana s pristupom podacima tisuća hotela, marketinške agencije s pristupom hotelskim CRM sustavima, vanjske IT firme koje remotely upravljaju PMS-ovima, i privremene sezonske zaposlenike koji prolaze minimalni security onboarding ali imaju isti pristup sustavima kao stalni zaposlenici.

Zašto plaćanje otkupnine ne rješava problem

Caesarsovo plaćanje od 15 milijuna dolara nije spriječilo javnost da sazna za napad — vijest je procurila svejedno. Plaćanje otkupnine ne garantira povrat svih podataka, ne garantira da napadači neće zadržati kopije, i ne rješava temeljnu ranjivost koja je omogućila napad. A FBI upozorava da plaćanje financira daljnje napade na druge organizacije.

Alternativa je bolnija kratkoročno: obnova iz backupa, javno komuniciranje o incidentu, regulatorna istraga — ali jedina opcija koja ne nagrađuje napad. Za mali hotel koji nema backup, ta alternativa može biti nepostojeća, što napadač unaprijed kalkulira.

LevelBlue izvješće iz 2025. bilježi nastavak rasta: 82% hotela napadnutih u ljeto 2024. nije upozorenje za sljedeće ljeto — to je model koji se ponavlja. Kratka ljetna sezona, maksimalna popunjenost i smanjen IT kapacitet čine ga perennial problem koji neće nestati bez strukturalnih promjena u pristupu kibernetičkoj sigurnosti u sektoru.

---

Izvori i dodatno čitanje

• 3 Cyberattacks That Devastated Hospitality in 2023 and 2024 — Asimily
• 82% of North American Hotels Were Hit — VikingCloud Research 2024
• Ransomware Victims: Hospitality and Tourism 2025 — Ransomware.live
• Emerging Cyber Threats in Hospitality 2025 — LevelBlue
• Peak Season, Peak Risk: The 2025 State of Hospitality Cyber Report — VikingCloud
• Hospitality Industry Cybersecurity Challenges — Help Net Security 2025