Segurança de agência de viagens e operadora de turismo: dados, pagamentos e GDS
Agências de viagens e operadoras de turismo lidam com informações pessoais em todas as etapas de uma viagem. Este guia mostra como mapear os dados que você mantém, proteger acessos e informações de pagamento, avaliar parceiros de tecnologia e se preparar para um incidente de segurança.
Onde o risco começa
Onde começam os problemas de segurança em uma agência de viagens
A maioria dos incidentes de segurança começa em uma tarefa comum do dia a dia. Um cliente novo pede com urgência uma reserva em grupo. Um fornecedor envia uma solicitação de pagamento. Uma mensagem avisa que o login do seu GDS expirou. Um ex-prestador de serviços ainda tem acesso a um sistema que sua equipe usa todos os dias.
Essas situações geram pressão, porque sua equipe quer ajudar o viajante e proteger a reserva. Com essa pressão, é fácil pular uma etapa de verificação ou digitar credenciais na página errada.
Os dados de viagem também contam muito sobre uma pessoa. Eles podem mostrar para onde ela pretende ir, quando vai estar fora, com quem viaja e como entrar em contato. Um roteiro de família, uma reserva de viagem corporativa e o arquivo de uma viagem em grupo podem conter tipos diferentes de informações pessoais.
Exposição
Cinco pontos de exposição a observar em uma reserva
Acompanhe uma reserva ao longo do seu fluxo de trabalho
- Um novo viajante ou uma nova empresa pede um grande volume de passagens antes que você consiga verificar quem eles representam.
- Um e-mail leva a uma página de login parecida com a do seu GDS, do seu provedor de pagamentos ou do portal de um fornecedor.
- Cópias de passaportes, dados de pagamento ou roteiros atuais ficam em caixas de e-mail, planilhas ou pastas compartilhadas.
- Uma filial, um agente independente, um fornecedor de serviços ou um ex-funcionário ainda tem acesso aos sistemas de reservas.
- Um ataque de ransomware bloqueia os roteiros e os dados de contato de que sua equipe precisa para atender os viajantes.
Cada um desses problemas afeta mais do que a privacidade. Eles podem causar emissão de passagens sem autorização, chargebacks, debit memos, notificações a clientes, perda de tempo e transtornos durante uma viagem em andamento.
Uma ameaça específica do setor de viagens
Solicitações falsas de viajantes e invasões de contas GDS
As agências de viagens enfrentam um segundo tipo de incidente de segurança, além dos vazamentos de dados: fraudadores podem usar uma solicitação falsa de cliente ou um login GDS roubado para fazer a agência emitir bilhetes na própria conta.
Em 2026, a Airlines Reporting Corporation informou um aumento da atividade envolvendo acesso não autorizado ao GDS. A ARC descreveu dois caminhos de entrada em uma agência: o fraudador se passa por uma agência legítima para obter acesso ao GDS ou uma mensagem de phishing captura as credenciais de um agente. Com o acesso em mãos, o fraudador pode emitir bilhetes pela conta da agência sem autorização.
A ARC também relatou sites falsos do Sabre Agency Workspace e de treinamento, criados para roubar credenciais de agentes. As páginas pareciam portais de viagens confiáveis, mas os links levavam a domínios de aparência idêntica. Uma página GDS falsa pode dar ao invasor um login válido, sem que o próprio provedor do GDS tenha sofrido qualquer violação.
Pedidos de reserva falsos: a urgência esconde uma verificação frágil
A ARC alertou as agências sobre solicitações falsas de viagens corporativas e em grupo, com embarques imediatos, emergências médicas, dados de pagamento incompletos, rotas incomuns e pedidos para ignorar as verificações habituais.
Faça uma pausa quando: um novo cliente pedir um grande volume de bilhetes antes de você poder verificar a empresa, os viajantes, o roteiro e o pagamento.
Sites GDS falsos: um logotipo conhecido pode esconder uma página de login roubada
Mensagens de phishing podem alegar que uma conta GDS expirou, que uma reserva precisa de verificação ou que um workspace exige nova autenticação urgente. O link pode levar a um portal falso do Sabre ou da agência.
Use: um favorito confiável ou o endereço do fornecedor digitado manualmente. Não entre por um link de e-mail inesperado.
Acesso de terceiros: o seu próprio sistema pode não ser a porta de entrada
A ARC relatou um caso em que bilhetes não autorizados foram emitidos após a violação de uma filial terceirizada, embora o sistema de emissão da própria agência não tivesse sido comprometido diretamente.
Revise: os acessos de filiais, prestadores de serviço, agentes independentes, fornecedores e ex-funcionários. Remova-os quando a relação ou a função terminar.
Antes de emitir um bilhete, sua equipe precisa responder a duas perguntas: “Esta solicitação vem de um cliente real?” e “Este login está acessando o GDS verdadeiro?” Inclua as duas verificações no fluxo de trabalho antes que alguém emita um bilhete.
01
Mapeie os dados que a sua agência manipula
Você não consegue proteger uma informação que não sabe onde está. Comece com um mapa de dados simples. Acompanhe uma reserva desde a primeira consulta até o suporte pós-viagem e registre cada sistema, pessoa e fornecedor que passa por ela.
Perguntas
Faça estas perguntas para cada tipo de dado
- Quais informações coletamos?
- Por que precisamos delas?
- Onde as armazenamos?
- Quem pode visualizar, alterar, baixar ou compartilhar?
- Quais fornecedores ou plataformas as recebem?
- Quando devemos excluí-las?
Sistemas
Inclua os sistemas que sua equipe usa todos os dias
- E-mail, CRM e GDS
- Plataforma de back office e software de contabilidade
- Provedor de pagamentos, pastas compartilhadas e planilhas
- Software de roteiros, aplicativos e portais de fornecedores
Depois, agrupe as informações por nível de risco. Conteúdo público sobre o destino exige um nível de proteção diferente do usado para dados de passaporte, informações de pagamento ou o contato de emergência de um viajante corporativo. Quanto mais restrito o dado, menos pontos de acesso ele deve ter.
Revise o que sua equipe guarda. Cópias antigas de passaportes, planilhas duplicadas, arquivos de reserva baixados e anexos de e-mail aumentam a exposição. Defina um prazo de retenção para cada categoria e exclua as informações quando não forem mais necessárias, respeitando as regras legais e contratuais que se aplicam ao seu mercado.
02
Proteja contas e acessos
Contas comprometidas dão aos invasores um caminho direto para dados de reservas, conversas por e-mail, fluxos de pagamento e arquivos de clientes. Proteja cada conta com controles que sua equipe consiga aplicar de forma consistente.
Exija autenticação multifator
Ative a autenticação multifator no e-mail, no CRM, no armazenamento em nuvem, nos sistemas de reservas, nas ferramentas de pagamento, nas contas de administrador e em qualquer plataforma que ofereça esse recurso. Uma senha roubada não deve ser a única chave de acesso a um sistema da empresa.
Use autenticação resistente a phishing quando o provedor oferecer. Se essa opção não existir, use um aplicativo autenticador ou uma chave de segurança, em vez de depender apenas de mensagens de texto.
Dê a cada pessoa uma conta individual
Não compartilhe logins de uma conta genérica da agência. Contas individuais permitem ver quem acessou um registro, alterar permissões quando alguém muda de função e remover o acesso quando um funcionário ou prestador de serviços sai.
Conceda a cada pessoa o acesso de que ela precisa para o seu trabalho. Um coordenador de vendas pode precisar ver os dados dos viajantes, enquanto um administrador pode precisar gerenciar as configurações.
Use um gerenciador de senhas
Um gerenciador de senhas ajuda sua equipe a criar senhas únicas e a compartilhar acessos por cofres controlados, em vez de e-mail ou planilhas. Nunca reutilize uma senha entre a sua conta de e-mail e a plataforma de um fornecedor ou de reservas.
Revise os acessos pelo menos duas vezes por ano e após qualquer mudança de função. Remova ex-funcionários, prestadores de serviços antigos, integrações sem uso e contas que não sustentam mais um processo ativo.
GDS
Proteja o acesso ao GDS e à emissão de bilhetes
- Ative a autenticação multifator sempre que o GDS ou o serviço conectado oferecer esse recurso.
- Confirme novos clientes corporativos por meio de dados de contato encontrados de forma independente, e não apenas pelo pedido recebido por e-mail.
- Revise com frequência a atividade de emissão de bilhetes, principalmente embarques próximos, trechos incomuns, reservas só de ida, novos perfis de viajantes e aumentos repentinos de volume.
- Revogue o acesso quando um funcionário, prestador de serviços, filial ou fornecedor encerrar o vínculo com a agência.
- Se alguém digitar credenciais em uma página suspeita, redefina a senha, registre novamente o MFA, faça uma varredura no dispositivo e entre em contato imediatamente com o GDS e com a ARC.
03
Treine sua equipe para identificar ataques reais
A maioria das agências de viagens recebe mensagens que parecem familiares: uma fatura de fornecedor, um pedido de alteração de voo, um link de pagamento de hotel ou uma mensagem urgente de um executivo. Os invasores usam essas situações conhecidas para criar pressão.
Pare
Treine sua equipe para parar e verificar quando uma mensagem pedir
- Uma senha, um código de uso único ou um dado de pagamento
- Uma alteração nos dados bancários de um fornecedor
- Uma transferência ou um reembolso urgente
- Uma cópia de passaporte ou uma lista de clientes
- Um link para entrar em um sistema de reservas ou de pagamento
Confirme solicitações sensíveis por um canal conhecido. Ligue para o fornecedor usando um telefone que já esteja nos seus registros, e não o número que aparece na mensagem. Informe rapidamente as mensagens suspeitas para que sua equipe possa alertar os demais colegas.
A CISA recomenda que pequenas e médias empresas incluam em suas práticas básicas de segurança a conscientização sobre phishing, senhas fortes, autenticação multifator e atualizações de software. Esses controles oferecem a uma agência de viagens um ponto de partida útil, sem exigir uma grande equipe técnica.
04
Proteja dispositivos e softwares de trabalho
Sua equipe pode acessar dados de viagens por laptops, celulares, tablets e redes domésticas. Defina um padrão mínimo para todo dispositivo que se conecta aos sistemas da empresa.
Padrão
Um padrão mínimo para todos os dispositivos
- Instale rapidamente as atualizações do sistema operacional e dos aplicativos.
- Ative a criptografia de disco completo em laptops e dispositivos móveis.
- Use o bloqueio automático de tela após um curto período de inatividade.
- Mantenha a proteção contra malware ativa e restrinja os privilégios de administrador.
- Separe as contas profissionais das contas pessoais sempre que possível.
- Evite baixar arquivos de clientes em dispositivos pessoais sem gerenciamento.
- Remova o acesso de dispositivos perdidos e apague os dados deles quando a tecnologia permitir.
Revise todas as integrações conectadas aos seus principais sistemas. Um conector antigo ou uma automação sem uso pode manter o acesso muito depois do fim do projeto original. Mantenha uma lista das integrações, com a finalidade, o responsável e os dados que cada uma pode ler ou enviar.
05
Trate com cuidado as informações de pagamento
Os dados de pagamento merecem um processo próprio. Não coloque números completos de cartão ou códigos de segurança em e-mails, chats, planilhas, documentos de roteiro, capturas de tela ou pastas compartilhadas.
Provedor
Use formulários de pagamento hospedados ou tokenização
Quando um provedor armazena os dados do cartão, confirme o que a sua agência ainda precisa fazer e quais obrigações do PCI DSS se aplicam. O PCI Security Standards Council explica que o PCI DSS se aplica a entidades que armazenam, processam ou transmitem dados de contas de pagamento, assim como a sistemas que podem afetar a segurança desses dados.
Regra para a equipe
Dê à equipe uma regra clara para solicitações de pagamento
O cliente deve saber qual página de pagamento usar, e a sua equipe deve saber identificar uma mensagem de pagamento legítima. Sempre que o processo permitir, mantenha os dados de cartão fora do fluxo de criação do roteiro.
06
Avalie a segurança dos seus parceiros de tecnologia
Uma agência pode seguir boas práticas internas e ainda assim herdar riscos de um fornecedor. Revise os sistemas que tratam informações de viajantes, dados de pagamento, documentos e dados de localização.
Pergunte a cada fornecedor de tecnologia importante:
| Pergunta | O que você quer entender |
|---|---|
| Como vocês criptografam os dados? | Proteção durante a transmissão e enquanto o provedor armazena os dados |
| Como os usuários fazem login? | MFA, SSO, regras de senha e controles de bloqueio de conta |
| Como vocês limitam o acesso da equipe? | Perfis de acesso, privilégio mínimo, revisões de acesso e controles de administrador |
| Como vocês se recuperam de um incidente? | Frequência de backup, pontos de recuperação, testes de restauração e continuidade de negócios |
| Como vocês testam o serviço? | Testes independentes, gestão de vulnerabilidades e práticas seguras de lançamento |
| Onde vocês hospedam e processam os dados? | Regiões, subprocessadores, transferências internacionais e garantias contratuais |
| O que acontece no fim do contrato? | Exportação, exclusão e retenção dos dados, e confirmação da remoção |
| Como vocês avisarão os clientes? | Contatos para incidentes, processo de resposta e compromissos de notificação |
Peça ao fornecedor a documentação de segurança, os termos de privacidade, o contrato de processamento de dados e a lista de subprocessadores. Considere as certificações apenas uma parte da sua avaliação. Você ainda precisa entender como o fornecedor opera o serviço específico que a sua agência vai usar.
07
Faça backup dos seus dados e teste a recuperação
Os backups ajudam a se recuperar de ransomware, exclusões acidentais, falhas de sistema e outros incidentes. Eles só funcionam se cobrirem as informações de que a sua equipe precisa e se você conseguir restaurá-las.
Identifique seus sistemas críticos
Em uma agência de viagens, esses sistemas podem incluir registros de reservas, roteiros em andamento, dados de contato dos viajantes, confirmações de fornecedores, registros financeiros e histórico de atendimento.
Defina uma meta de recuperação
Decida quantos dados recentes você aceitaria perder e em quanto tempo a sua equipe precisa retomar as operações. Mantenha os backups protegidos das contas de usuário do dia a dia e garanta que um invasor não consiga apagar todas as cópias com um único login comprometido.
Teste uma restauração todos os anos
Teste uma restauração pelo menos uma vez por ano. Peça a alguém que abra os arquivos recuperados e confirme que a equipe conseguiria usá-los em uma interrupção real. Registre o resultado e corrija as falhas enquanto o exercício ainda está fresco na memória.
08
Prepare um plano de resposta a incidentes
Um plano de incidentes reduz a confusão quando a sua equipe tem pouco tempo e poucas informações. Mantenha a primeira versão curta o bastante para que todos consigam usá-la. Registre por escrito:
Plano
O que o seu plano de incidentes deve cobrir
- Quem lidera a resposta e quem pode tomar decisões urgentes.
- Como os colaboradores comunicam um e-mail suspeito, um dispositivo perdido ou uma conta comprometida.
- Quais provedores de tecnologia, seguradoras, assessores jurídicos e autoridades acionar.
- Como isolar um dispositivo ou uma conta sem destruir evidências.
- Como continuar atendendo os viajantes se os sistemas de reservas ou de comunicação ficarem fora do ar.
- Como avaliar os dados afetados e se comunicar com os clientes de acordo com as regras aplicáveis.
- Como restaurar os sistemas e analisar a causa depois do incidente.
Faça um exercício rápido uma vez por ano. Apresente à equipe um cenário realista, como uma caixa de e-mail comprometida que contém cópias de passaportes ou um ataque de ransomware que bloqueia o acesso aos roteiros em andamento. Verifique se todos sabem quem acionar, onde está o backup e como atender os viajantes enquanto os sistemas são recuperados.
As exigências legais de notificação dependem dos países, dos tipos de dados, dos contratos e das pessoas envolvidas. Peça a assessores jurídicos qualificados que confirmem as regras aplicáveis ao seu negócio. O seu plano de incidentes deve fornecer a eles, rapidamente, as informações de que precisam.
09
Crie uma rotina de segurança
A segurança melhora quando a sua equipe a trata como um hábito de trabalho. Inclua um pequeno conjunto de verificações na rotina de gestão que você já tem.
| Frequência | Verificação |
|---|---|
| Todos os dias | Comunicar mensagens suspeitas, seguir os procedimentos de pagamento e aplicar atualizações de segurança urgentes |
| Todos os meses | Revisar alertas, novos usuários, ex-usuários, integrações e acessos incomuns |
| Todo trimestre | Excluir exportações antigas, revisar os fornecedores mais importantes e atualizar as orientações para a equipe |
| Duas vezes por ano | Revisar as permissões de usuários e as contas de administrador |
| Todos os anos | Testar os backups, simular o plano de incidentes e revisar o mapa de dados |
Registre o responsável e a data de cada verificação. Um registro simples dá à sua equipe uma forma clara de mostrar o que revisou e o que alterou.
mTrip
Como a mTrip trata a segurança de dados
Ao avaliar uma plataforma de roteiros ou um aplicativo de viagem com a sua marca, peça ao fornecedor que explique os controles de segurança em termos igualmente práticos. A mTrip publica suas práticas de segurança para agências de viagens, operadoras de turismo e TMCs.
Hospedagem na Amazon Web Services
A plataforma roda na Amazon Web Services. Os clientes europeus são hospedados em Frankfurt, na Alemanha, e os arquivos enviados ficam armazenados em Londres, no Reino Unido. Os demais clientes são hospedados na Virgínia do Norte, nos Estados Unidos.
Criptografia em trânsito e em repouso
A mTrip informa que o tráfego da plataforma e da API usa TLS 1.2 ou superior. Bancos de dados, armazenamento de arquivos e backups são criptografados em repouso com AES-256, e o aplicativo criptografa campos sensíveis dos viajantes, como e-mails, telefones, datas de nascimento e localizadores.
Backups diários, testados todo ano
A plataforma faz backups diários criptografados, com recuperação para qualquer ponto no tempo dos últimos sete dias. A mTrip copia os backups para uma segunda região da AWS, protege os arquivos contra exclusão e testa uma restauração pelo menos uma vez por ano.
Acesso controlado e testes independentes
A mTrip descreve acesso controlado, autenticação multifator, registro de atividades administrativas, detecção contínua de ameaças e testes independentes da plataforma e dos aplicativos pelo menos uma vez por ano.
Os clientes podem solicitar documentos de segurança pelo mTrip Trust Center. Compare os detalhes atuais com os seus próprios requisitos antes de escolher qualquer fornecedor de tecnologia.
Avaliação de segurança
Perguntas para fazer a todo fornecedor de tecnologia para viagens
Pergunte onde os dados são hospedados, como o acesso é controlado, como os backups são testados, como os incidentes são comunicados e o que acontece com os seus dados quando o contrato termina.
Comece aqui
Comece pelos controles que mais reduzem o risco
Um projeto inicial curto já traz avanços importantes:
Plano de ação
Seis controles para um primeiro projeto
- Mapeie os dados do seu fluxo de reservas e roteiros.
- Ative a autenticação multifator em todas as contas importantes.
- Remova usuários antigos, logins compartilhados e integrações sem uso.
- Não deixe dados completos de cartão de pagamento em e-mails, documentos e planilhas.
- Confirme que os backups funcionam testando uma restauração.
- Escreva um plano de resposta a incidentes e pratique-o com a sua equipe.
A segurança de dados protege a experiência do viajante que a sua agência se esforça para construir. Ela também dá à sua equipe uma forma mais segura de gerenciar reservas, documentos e o suporte em caso de imprevistos, à medida que o volume de viagens cresce.
Para mais orientações, leia as boas práticas da mTrip para documentação da viagem e o checklist de software de duty of care.
O setor de viagens em geral
O que outras empresas de turismo aprenderam com ataques
Esses exemplos envolvem empresas de viagens maiores, mas os problemas de fundo também podem aparecer no fluxo de trabalho de uma agência ou operadora de turismo: sistemas antigos, credenciais roubadas, dados de pagamento, acesso de fornecedores e planos de recuperação fracos.
Rede hoteleira
Marriott e o banco de dados de reservas da Starwood
Em novembro de 2018, a Marriott anunciou que uma parte não autorizada acessava a rede da Starwood desde 2014. O banco de dados continha informações de até aproximadamente 500 milhões de hóspedes. Para cerca de 327 milhões deles, os dados incluíam combinações de nomes, endereços, telefones, e-mails, números de passaporte, dados de contas de fidelidade, datas de nascimento e informações de chegada e saída.
Lição relevante: revise sistemas herdados, integrações antigas e bancos de dados adquiridos. Mantenha um mapa de dados atualizado, apague os dados de que não precisa mais e monitore o acesso aos repositórios de reservas.
Companhia aérea
British Airways e os dados de pagamento do site
A British Airways comunicou um incidente em 2018 envolvendo informações de clientes enviadas pelo site da empresa. O Information Commissioner’s Office (ICO), do Reino Unido, registrou depois que os dados de cerca de 429.000 pessoas foram afetados, incluindo informações de login, cartão de pagamento, reserva de viagem, nome e endereço.
Lição relevante: proteja formulários públicos de reserva, contas de administrador, fluxos de pagamento e serviços conectados. Mantenha os dados de pagamento fora dos sistemas que não precisam armazená-los e monitore atividades incomuns.
Companhia aérea
easyJet e um grande banco de dados de clientes
A easyJet divulgou um vazamento de dados em 2020 que afetou cerca de 9 milhões de clientes. O incidente também envolveu os dados de cartão de 2.208 clientes. A escala mostra com que rapidez um único sistema comprometido pode virar um problema de comunicação com clientes, jurídico e de atendimento.
Lição relevante: saiba quais categorias de dados você mantém, quem precisa de acesso e como vai entrar em contato com os clientes afetados. O seu plano de resposta a incidentes deve cobrir o atendimento ao cliente, além da recuperação técnica.
TMC
CWT e a interrupção causada por ransomware
Em 2020, a TMC CWT sofreu um ataque de ransomware. A Reuters informou que os atacantes afirmaram ter copiado 30.000 arquivos e que a CWT pagou um resgate durante a resposta ao ataque. O incidente mostra com que rapidez uma queda de sistemas pode afetar uma empresa cujas equipes gerenciam viagens em andamento e dão suporte a viajantes.
Lição relevante: backups e procedimentos de recuperação merecem tanta atenção quanto a prevenção. Teste se a sua equipe consegue acessar as informações essenciais das viagens e dar suporte aos viajantes caso os sistemas principais saiam do ar.
Revise com a mTrip o fluxo dos seus dados de viagem
Converse com a equipe da mTrip sobre dados de roteiros, documentação da viagem, aplicativos com a sua marca e requisitos de segurança. Se você está começando a avaliar um fornecedor, leia primeiro a página de segurança da mTrip.
Leituras recomendadas
Fontes e leituras recomendadas
- NIST Cybersecurity Framework 2.0
- CISA: Secure Your Business
- PCI Security Standards Council: Merchant Resources
- Marriott: incidente de segurança no banco de dados de reservas de hóspedes da Starwood
- UK Information Commissioner’s Office: registro de sanção da British Airways
- UK Information Commissioner’s Office: registro de sanção da easyJet
- Reuters: CWT pagou resgate de US$ 4,5 milhões a grupo de ransomware
- ARC: alertas e esquemas de fraude que afetam agências de viagens
- ARC: Reasonable Care and Cyber Security Guide
- ARC: treinamento obrigatório de segurança para agentes