W dobie cyfryzacji branży zajmującej się organizacją podróży służbowych, tradycyjne kradzieże kart płatniczych ustępują miejsca nowemu zagrożeniu. Z najnowszych analiz branżowych wynika, że dla cyberprzestępców znacznie cenniejsze niż same numery kont mogą okazać się zwykłe szczegóły dotyczące podróży i rezerwacji.
Nowa waluta oszustów: Dane dotyczące rezerwacji zamiast kart płatniczych
Głośne incydenty bezpieczeństwa, które dotknęły w ostatnim czasie m.in. Manchester Airports Group (MAG), platformę Booking.com czy agencję BCD Travel, obnażyły mroczną stronę skomplikowanego ekosystemu podróży służbowych. Wycieki dotyczyły powszechnych danych: numerów rejestracyjnych pojazdów, dat pobytu, nazw hoteli, adresów e-mail czy danych kontaktowych.
Dla hakerów te z pozoru błahe informacje stanowią idealny budulec do przeprowadzania wysoce wiarygodnych ataków typu phishing, próby podszywania się pod inne podmioty czy wymuszeń. Posiadając autentyczne szczegóły podróży, oszuści mogą bez trudu sfingować wiadomość np. o konieczności dopłaty za parking lotniskowy czy rzekomym problemie z płatnością w hotelu, co drastycznie zwiększa skuteczność ich działań.
Słabe ogniwo: Łańcuch dostaw i zbytnie zaufanie
Sektor podróży służbowych opiera się na ciągłej wymianie informacji między liniami lotniczymi, hotelami, globalnymi systemami dystrybucji (GDS), agencjami (TMC) oraz dostawcami technologii płatniczych. Eksperci ds. cyberbezpieczeństwa wskazują, że ten wielopoziomowy łańcuch dostaw generuje kluczowy problem: brak pełnej kontroli nad tym, kto dokładnie ma dostęp do wrażliwych systemów i jak długo te uprawnienia pozostają aktywne.
-
Słaba higiena cyfrowa: Szacuje się, że miażdżąca większość incydentów (nawet do 95%) wynika z podstawowych błędów, takich jak słabe hasła czy nadmierne zaufanie wewnątrz organizacji.
-
Skala globalna: Przykłady incydentów z rezerwacjami hotelowymi pokazują, że skradzione dane są natychmiastowo wykorzystywane w atakach wymierzonych w setki obiektów na całym świecie.
Sztuczna inteligencja przyspiesza zagrożenia
Sytuację dodatkowo komplikuje rozwój narzędzi opartych na sztucznej inteligencji. Generatywna AI pozwala cyberprzestępcom na błyskawiczne tworzenie masowych, bezbłędnych gramatycznie wiadomości phishingowych w niemal każdym języku. W połączeniu z prawdziwymi danymi rezerwacyjnymi i technologią klonowania głosu, oszustwa stają się niemal niemożliwe do odróżnienia od autentycznych komunikatów wysyłanych przez obsługę hoteli czy przewoźników.
Okiem eksperta Travelsupport.pl: Jak chronić firmowe podróże?
Dla firm organizujących delegacje i zarządzających budżetami mobilności, wnioski z tych analiz są jednoznaczne. Bezpieczeństwo w podróży służbowej to już nie tylko ochrona przed fizycznym zagrożeniem czy kontrola kosztów, ale przede wszystkim rygorystyczna higiena cyfrowa.
Warto upewnić się, że partnerzy i dostawcy technologiczni, z którymi współpracuje Twoja organizacja, stosują najwyższe standardy bezpieczeństwa, a pracownicy są regularnie szkoleni z zakresu rozpoznawania spersonalizowanych ataków socjotechnicznych wykorzystujących realne dane o ich wyjazdach.
Cyberbezpieczeństwo agenta ds podróży służbowych
Wybór korporacyjnego biura podróży (TMC) oraz dostarczanych przez nie narzędzi do rezerwacji online (OBT – Online Booking Tool) wymaga rygorystycznej weryfikacji standardów bezpieczeństwa. Ze względu na fakt, że TMC przetwarzają dane osobowe wysokiego ryzyka (dane paszportowe, numery kart płatniczych, plany podróży kluczowych kadry zarządzającej), partner technologiczny musi spełniać międzynarodowe standardy zgodności.
Oto kluczowe certyfikaty i standardy bezpieczeństwa danych, jakich należy wymagać od TMC oraz dostawców systemów OBT:
ISO/IEC 27001 (Zarządzanie Bezpieczeństwem Informacji)
-
Co to jest: Globalny standard definiujący wymagania dla systemu zarządzania bezpieczeństwem informacji (ISMS).
-
Dlaczego jest wymagany: Gwarantuje, że TMC wdrożyło procedury ochrony poufności, integralności i dostępności danych, a także regularnie przeprowadza analizy ryzyka i audyty bezpieczeństwa.
PCI-DSS (Payment Card Industry Data Security Standard)
-
Co to jest: Międzynarodowy standard bezpieczeństwa danych dla branży kart płatniczych.
-
Dlaczego jest wymagany: TMC i ich systemy bardzo często obsługują płatności za bilety lotnicze i hotele, przechowując lub przetwarzając dane kart kredytowych (np. w celach obciążenia kart centralnych tzw. lodged card). Zgodność z PCI-DSS (najlepiej najwyższy poziom Level 1) jest prawnym i branżowym wymogiem przetwarzania płatności.
GDPR / RODO (Zgodność prawno-procesowa)
Choć RODO nie jest certyfikkiem samym w sobie, TMC musi posiadać pełną gotowość do podpisywania umów powierzenia przetwarzania danych (DPA), szyfrowania danych w spoczynku i tranzycie oraz wyznaczonego Inspektora Ochrony Danych (IOD).
Certyfikaty i standardy dla systemów OBT (Online Booking Tool)
Narzędzia do rezerwacji online udostępniane przez TMC (lub niezależnych dostawców typu SAP Concur, Cytric itp.) muszą wykazywać najwyższy stopień odporności cyfrowej ze względu na automatyzację procesów i integrację z systemami ERP klienta.
ISO 27701 (Zarządzanie Informacją o Prywatności)
-
Co to jest: Rozszerzenie normy ISO 27001 skupiające się stricte na ochronie prywatności i danych osobowych (PII – Personally Identifiable Information).
-
Znaczenie dla OBT: Kluczowe w kontekście unijnego RODO – potwierdza, że system rezerwacyjny projektowany jest z uwzględnieniem zasad privacy by design.
ISO 27017 / ISO 27018 (Chmura Obliczeniowa)
-
Co to jest: Standardy bezpieczeństwa dla usług chmurowych (Cloud Security).
-
Znaczenie dla OBT: Ponieważ nowoczesne systemy OBT działają w chmurze (SaaS), certyfikaty te gwarantują bezpieczeństwo danych przechowywanych na serwerach zewnętrznych dostawców (np. AWS, Microsoft Azure), na których operuje platforma rezerwacyjna
OWASP Top 10 Compliance (Testy Penetracyjne)
-
Co to jest: Choć nie jest to “certyfikat”, standardy oparte na wytycznych OWASP są fundamentem bezpieczeństwa aplikacji webowych i mobilnych.
-
Znaczenie dla OBT: Dostawca narzędzia OBT powinien regularnie (przynajmniej raz w roku) przedstawiać niezależny raport z testów penetracyjnych (pen-tests) wykonany przez renomowaną firmę trzecią, potwierdzający odporność aplikacji na ataki (np. SQL Injection, Cross-Site Scripting).
