Hızlı cevap: Otel yönetim sistemi (PMS, Property Management System), bir otelin rezervasyon, giriş çıkış, oda durumu, misafir bilgileri ve ödeme kayıtlarını tuttuğu merkezi yazılımdır. Opera, Protel, Elektra ve Sis gibi sistemler bu işi görür. PMS, otelin en kritik verisini (kimlik, pasaport, kredi kartı, konaklama geçmişi) barındırdığı için siber saldırganların birincil hedefidir. Güvenliği; erişim kontrolü, ağ ayrımı, güncelleme ve ödeme verisinin izole edilmesiyle sağlanır.

PMS neden bu kadar kritik bir hedef?

Bir otelde her şey PMS üzerinden döner. Resepsiyon, rezervasyon, muhasebe, housekeeping ve çoğu zaman ödeme, hepsi bu tek sisteme bağlıdır. Bu yüzden PMS ele geçirilirse saldırgan yalnızca bir departmana değil, otelin tüm operasyonuna ve misafir verisine erişir.

PMS'in içindeki veri de olağanüstü değerlidir. Misafirin kimlik ve pasaport bilgisi, iletişim bilgileri, konaklama tarihleri ve çoğu zaman ödeme kartı ayrıntıları burada tutulur. Bu veri hem KVKK açısından hassastır hem de yeraltı pazarlarında yüksek değer taşır. Dünyada en büyük veri ihlallerinden bazıları otel zincirlerinde yaşandı ve yüz milyonlarca misafir kaydı etkilendi.

Otel PMS'inde en sık görülen açıklar

Açık Açıklama
Güncel olmayan sürüm Yaması çıkmış ama uygulanmamış bilinen açıklar
Zayıf ve paylaşılan hesaplar Resepsiyonun ortak kullandığı tek parola
Ağ ayrımı yokluğu PMS ile misafir Wi-Fi aynı ağda
Uzak erişimin kötü korunması Tedarikçi bakım erişimi açık ve zayıf
Ödeme verisinin PMS'te saklanması Kart verisinin izole edilmemesi
Yetki fazlalığı Her personelin her şeye erişebilmesi

PMS güvenliği için temel kontroller

  1. PMS'i ayrı bir ağ segmentinde tutun, misafir Wi-Fi ve ofis ağından yalıtın.
  2. Her personele kişisel hesap verin, paylaşılan parolayı kaldırın, yönetici erişimine çok faktörlü doğrulama ekleyin.
  3. Yetkiyi göreve göre sınırlayın, resepsiyon muhasebe verisine erişmesin.
  4. PMS ve işletim sistemini güncel tutun, tedarikçinin uzak bakım erişimini kısıtlayın ve izleyin.
  5. Ödeme kartı verisini PMS'te saklamayın, PCI DSS uyumlu izole bir akışta tutun.
  6. Günlükleri (log) toplayın ve olağandışı erişimi izleyin.
  7. Düzenli yedek alın ve fidye yazılımına karşı yedeği çevrimdışı tutun.

Bir ihlalde ilk adımlar

PMS'in ele geçirildiğinden şüpheleniyorsanız, önce etkilenen sistemi izole edin ve mevcut durumun imajını alın (adli inceleme için delili koruyun). Ardından hangi misafir verisinin etkilendiğini belirleyin, çünkü bu KVKK bildirim yükümlülüğünü doğrudan etkiler. Sadece görünen zararlıyı temizlemek yeterli değildir, giriş noktası bulunmadan sistem yeniden ele geçirilir.

KAOS ve DSET yaklaşımı

DSET, otel yönetim sistemlerinin sızma testini ve ele geçirme sonrası adli incelemesini yürütür. Otel ağlarında sık gördüğümüz sistemik sorun, PMS ile misafir Wi-Fi'nin aynı ağda olması ve paylaşılan resepsiyon hesaplarıdır. Geliştirdiğimiz KAOS güvenlik motoru, otel altyapısında zayıf erişim yapılandırmalarını ve açıkta kalan yönetim panellerini raporlar. Amacımız pazarlama vaadi değil, misafir verisine giden gerçek yolu kanıtla göstermek.

Bağlantılı okumalar: otel rezervasyon ve kanal yöneticisi güvenliği, otel misafir Wi-Fi güvenliği, otellerde KVKK ve misafir verisi, PCI DSS ödeme kartı güvenliği, ağ segmentasyonu ve mikrosegmentasyon, veri ihlali 72 saat KVKK bildirimi.

Sık sorulan sorular

Otel PMS'i neden saldırganların hedefi? Çünkü PMS otelin tüm operasyonunu ve en değerli verisini tek yerde tutar: misafirin kimlik, pasaport, iletişim ve çoğu zaman ödeme kartı bilgisi. Bu veri hem KVKK açısından hassastır hem de yeraltı pazarlarında yüksek değer taşır. PMS ele geçirilirse saldırgan tek departmana değil, otelin bütününe erişir.

Ödeme kartı verisi PMS'te saklanmalı mı? Hayır, mümkün olduğunca saklanmamalıdır. Kart verisi PCI DSS uyumlu, izole bir akışta işlenmeli ve PMS'te kalıcı tutulmamalıdır. Kart verisinin PMS'te birikmesi, bir ihlalde etkiyi çok büyütür ve uyum yükünü artırır.

Küçük bir otel PMS güvenliğine nereden başlamalı? İlk ve en etkili adım ağ ayrımıdır: PMS'i misafir Wi-Fi ve ofis ağından ayrı bir segmentte tutmak. Ardından paylaşılan resepsiyon parolasını kaldırıp kişisel hesaplar ve yönetici için çok faktörlü doğrulama gelir. Bu üç adım, en yaygın otel ihlallerinin çoğunu engeller.

Kaynaklar

Otel yönetim sisteminizin sızma testi veya ele geçirme sonrası adli incelemesi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.