Ukratko: Ako je web-stranica Vašeg hotela hakirana, manje se radi o početnoj stranici, a više o svemu što je na nju vezano: ugrađenom sustavu rezervacija, shopu bonova, obrascima upita za proslave i konferencije. Provjerite stanje zakrpe i ugradnje, osigurajte zapisnike i stvarno upozorite goste ako bi njihovi podaci mogli biti pogođeni.
Koji PHP sustavi rade u hotelima i ugostiteljstvu
Web-stranica hotela ili restorana najčešće radi na WordPressu ili drugom PHP CMS-u. Sustav rezervacija često dolazi od pružatelja hotelskog softvera ili channel managera i ugrađuje se skriptom ili iframeom. Uz to na vlastitom poslužitelju često rade shop bonova na osnovi WooCommercea, obrasci za upite o konferencijama i vjenčanjima, rezervacije stolova, prijave na newsletter i ponude poslova za sezonu.
Upravo mješavina vlastitih i tuđih sastavnica čini ugostiteljstvo ranjivim: vlastiti poslužitelj ne mora sadržavati podatke o rezervacijama da bi ugrozio goste. Dovoljno je da određuje kamo vodi gumb za rezervaciju.
Koji su podaci o gostima na kocki
Preko web-stranica hotela prolaze imena, adrese, brojevi telefona, podaci o putovanju i pratnji. Upiti često sadrže posebne želje poput alergija, pristupačnosti ili dijetalnih zahtjeva. Takvi zdravstveni podaci spadaju u posebne kategorije prema čl. 9. GDPR-a. U shopu bonova pridodaju se podaci o narudžbama i računima.
Podaci o karticama u pravilu su kod pružatelja usluga plaćanja ili u hotelskom softveru, a ne na web-stranici. Tko, međutim, može mijenjati JavaScript na vlastitoj stranici, može i čitati unose u obrascima ili goste poslati na zavaravajuće vjerodostojnu stranicu za plaćanje.
Upiti za konferencije i događanja često dolaze od tvrtki i sadrže popise sudionika, rasporede i proračune. Upiti za vjenčanja navode termine, broj gostiju i obiteljska prezimena. Takve se informacije rijetko doživljavaju kao osjetljive, ali su vrijedne za ciljane pokušaje prijevare, primjerice krivotvoreni račun za predujam neposredno prije događanja. Provjerite stoga leže li upiti trajno u bazi podataka web-stranice i je li to nužno.
Hakirana web-stranica hotela: tipične posljedice za poslovanje
- Krivotvorene stranice za rezervaciju i plaćanje: Gosti plaćaju prevarantima i za to okrivljuju hotel.
- Ciljane prijevarne poruke: Sa stvarnim podacima o putovanju krivotvoreni zahtjevi za plaćanje djeluju vjerodostojno.
- Gubitak izravnih rezervacija: Googleovo upozorenje ili ispad tjera goste na portale za rezervacije za koje plaćate proviziju.
- Ocjene: Gosti koji su prevareni to javno opisuju, neovisno o tome gdje je bila pogreška.
Nakon zakrpe provjerite i pokazuje li ugradnja Vašeg sustava rezervacija još na pravu adresu. Izmijenjena skripta ili preusmjerena poveznica u svakodnevici se jedva primjećuje.
Tko je odgovoran: agencija, pružatelj softvera, pružatelj hostinga?
| Sastavnica | Tipično odgovoran | Otvoreno pitanje |
|---|---|---|
| Web-stranica hotela i shop bonova | Agencija i pružatelj hostinga | PHP zakrpa i ponovno pokretanje potvrđeni? |
| Sustav rezervacija | Pružatelj hotelskog softvera | Je li ugradnja nepromijenjena? |
| Hotelski softver u kući | Pružatelj softvera ili IT skrbnik | Veze prema web-stranici? |
| Poštanski sandučići recepcije | Pružatelj hostinga ili IT skrbnik | Nepoznata prosljeđivanja? |
Kod hotelskih lanaca i franšiznih poslovanja pridodaju se središnji zahtjevi. Često središnjica vodi glavnu stranicu, dok pojedini hoteli održavaju vlastite stranice bonova ili događanja koje nitko središnje ne prati.
Sezonski radnici, zajednički pristupi i bonovi
U ugostiteljstvu se timovi često mijenjaju. Pristupi web-stranici, shopu bonova i platformama za rezervacije dijele se na recepciji i rijetko mijenjaju kad netko ode. Nakon incidenta svi bi se ti pristupi trebali obnoviti i, gdje je moguće, prebaciti na osobne račune.
Podcijenjen rizik su bonovi. Tko ima pristup bazi podataka shopa, može očitati kodove bonova, mijenjati vrijednosti ili izraditi vlastite kodove koji se unovčuju na recepciji. Nakon čišćenja dajte provjeriti jesu li izrađeni ili izmijenjeni bonovi koji se ne mogu pripisati nijednoj narudžbi. Usporedba s Vašim knjigovodstvom takve neobičnosti obično brzo pokaže.
Prvi sati nakon upozorenja
- Od pružatelja hostinga dati pisano potvrditi da je PHP na 8.5.12, 8.4.27, 8.3.36 ili 8.2.35 ili zakrpan te da su svi procesi ponovno pokrenuti.
- Bez potvrde: web-stranicu zamijeniti stranicom s obavijesti, telefonom i izravnom poveznicom na sustav rezervacija pružatelja.
- Osigurati zapisnike od 20. 10. 2026. i provjeriti ugradnje sustava rezervacija i stranica za plaćanje.
- Obavijestiti tim recepcije kako bi prepoznao sumnjiva pitanja gostiju i dokumentirao ih.
- Kod naznaka prijevare goste stvarno upozoriti. Pomoć pri formulaciji nudi stranica o kriznoj komunikaciji.
Kako PHP SOS konkretno pomaže?
- Provjeravamo stanje zakrpe, ponovno pokretanje i način rada Vašeg web-poslužitelja te se usklađujemo s agencijom i pružateljem hostinga.
- Kontroliramo web-stranicu, shop bonova i ugradnje na izmijenjeni JavaScript, strana preusmjeravanja i web shellove te uklanjamo zlonamjerni kod.
- Provjeravamo jesu li poštanski sandučići dobili pravila prosljeđivanja koja ne poznajete.
- Zatim, na želju, postavljamo sigurnosni nadzor koji prijavljuje promjene datoteka i skripti.
Česta pitanja
Pogađa li PHP2Shell moj sustav rezervacija?
Mnoge sustave rezervacija vodi pružatelj i samo se ugrađuju u web-stranicu hotela. Tada je pružatelj odgovoran za svoj poslužitelj. Vaša vlastita web-stranica ipak ostaje rizik jer napadač tamo može izmijeniti ugradnju ili preusmjeriti na lažnu stranicu rezervacija.
Gosti su primili čudne zahtjeve za plaćanje. Je li to povezano s web-stranicom?
Moguće je, ali se dokazuje tek nakon provjere. Takve poruke mogu nastati i preko platformi za rezervacije ili kompromitiranih poštanskih sandučića. Osigurajte poruke, upozorite pogođene goste i dajte provjeriti web-stranicu, sandučiće i pristupe platformama.
Smijem li web-stranicu isključiti u glavnoj sezoni?
Ako PHP nije dokazano zakrpan, BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje privremeno odspajanje web-poslužitelja s mreže. Stranica s obavijesti, telefonom i izravnom poveznicom na sustav rezervacija pružatelja održava poslovanje. Neprimijećeno kompromitirana stranica u sezoni košta više povjerenja nego nekoliko sati održavanja.