Hızlı cevap: Otel rezervasyon ekosistemi üç ana parçadan oluşur: otelin kendi web sitesindeki rezervasyon motoru, oda envanterini Booking.com ve Expedia gibi acentelere dağıtan kanal yöneticisi (channel manager), ve online seyahat acenteleri (OTA). Bu sistemler misafir ve ödeme verisini taşıdığı ve birbirine API ile bağlı olduğu için güvenlik zinciri en zayıf halkası kadar güçlüdür. Ele geçirilen bir acente hesabı ya da güvensiz bir entegrasyon, tüm rezervasyon verisini açığa çıkarabilir.

Otel rezervasyon sistemleri nasıl bağlanır?

Bir misafir üç farklı yoldan rezervasyon yapar: otelin kendi sitesinden (booking engine), bir OTA üzerinden (Booking.com, Expedia, Agoda) ya da bir seyahat acentesinden. Bu kanalların hepsi, otelin oda envanterini ve fiyatını tek yerden yöneten kanal yöneticisine bağlanır. Kanal yöneticisi de PMS ile konuşur.

Bu zincir güçlü bir otomasyon sağlar ama aynı zamanda geniş bir saldırı yüzeyi yaratır. Her bağlantı bir API, her API bir kimlik doğrulama, her acente hesabı bir giriş noktasıdır. Zincirdeki tek bir zayıf halka, misafir ve ödeme verisinin tamamını riske atabilir.

En sık görülen riskler

Risk Açıklama
Ele geçirilen OTA hesabı Zayıf parola ile acente ekstranet paneline erişim
Güvensiz API entegrasyonu Kanal yöneticisi ile PMS arasında şifresiz veya zayıf kimlik doğrulama
Sızmış API anahtarları Entegrasyon anahtarlarının kod veya e-postada açıkta kalması
Sahte rezervasyon ve dolandırıcılık Çalıntı kartla yapılan rezervasyonlar, geri ödeme dolandırıcılığı
Misafire yönelik oltalama OTA mesajlaşması taklit edilerek kart bilgisi isteme

Acente hesaplarının korunması

OTA ekstranet panelleri (Booking.com, Expedia yönetim panelleri) sık hedef alınır çünkü rezervasyon ve çoğu zaman misafir kart verisine erişim sağlarlar. Bu hesapları korumak için:

  1. Her acente panelinde güçlü ve benzersiz parola kullanın, mümkün olan her yerde çok faktörlü doğrulama açın.
  2. Panel erişimini yalnızca gereken personelle sınırlayın, ayrılan personelin erişimini hemen kaldırın.
  3. Panel içi mesajlaşmada misafirden asla tam kart bilgisi istemeyin ve isteyen mesajları oltalama olarak değerlendirin.
  4. Şüpheli rezervasyon ve iade taleplerini izleyin.

API ve entegrasyon güvenliği

Kanal yöneticisi, PMS ve booking motoru arasındaki bağlantılar API üzerinden çalışır. Bu entegrasyonların güvenliği çoğu zaman gözden kaçar. API anahtarları kod deposunda ya da yapılandırma dosyasında açıkta kalmamalı, bağlantılar şifreli olmalı ve her entegrasyon yalnızca ihtiyaç duyduğu yetkiyle çalışmalıdır. Sızan tek bir API anahtarı, tüm rezervasyon verisine sessiz bir kapı açabilir.

KAOS ve DSET yaklaşımı

DSET, otel rezervasyon motorlarının, kanal yöneticisi entegrasyonlarının ve booking API'lerinin güvenlik denetimini yapar. Sahada en sık gördüğümüz sorun, entegrasyon anahtarlarının açıkta kalması ve OTA hesaplarında çok faktörlü doğrulamanın kapalı olmasıdır. Geliştirdiğimiz KAOS güvenlik motoru, otel web sitesi ve API katmanında sızmış anahtarları ve güvensiz uçları raporlar. Amacımız abartılı tehdit anlatısı değil, rezervasyon verisine giden gerçek yolu göstermektir.

Bağlantılı okumalar: otel PMS yönetim sistemi güvenliği, otel sahte rezervasyon ve dolandırıcılık, API güvenliği ve OWASP API Top 10, sızan API anahtarları ve sır yönetimi, otellerde KVKK ve misafir verisi, PCI DSS ödeme kartı güvenliği.

Sık sorulan sorular

Kanal yöneticisi (channel manager) nedir ve neden güvenlik riski taşır? Kanal yöneticisi, otelin oda envanterini ve fiyatını Booking.com, Expedia gibi acentelere tek merkezden dağıtan sistemdir. Risk taşır çünkü PMS, booking motoru ve tüm acentelerle API üzerinden bağlıdır. Bu geniş bağlantı ağında güvensiz tek bir entegrasyon ya da sızmış tek bir anahtar, tüm rezervasyon ve misafir verisini açığa çıkarabilir.

OTA hesabımı nasıl korurum? Her acente panelinde güçlü ve benzersiz parola kullanın, mümkün olan her yerde çok faktörlü doğrulama açın ve erişimi yalnızca gereken personele verin. Panel içi mesajlaşmada misafirden tam kart bilgisi isteyen mesajları oltalama kabul edin, çünkü meşru bir OTA bunu bu şekilde istemez.

Booking motorumuz güvenli mi nasıl anlarım? Bunu bir güvenlik denetimiyle anlarsınız. Denetim; ödeme akışının izole olup olmadığını, API anahtarlarının açıkta olup olmadığını, entegrasyonların şifreli ve yetkilerinin sınırlı olup olmadığını inceler. Booking motoru otelin sitesine gömülü olduğu için, sitenin genel güvenliği de bu değerlendirmenin parçasıdır.

Kaynaklar

Otel rezervasyon motorunuzun ve acente entegrasyonlarınızın güvenlik denetimi için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.