Hotel, pousada e agência de turismo guardam, de cada hóspede, documento, CPF ou passaporte, endereço, placa do carro, dados de quem viaja com crianças e, muitas vezes, o cartão. Com a FNRH Digital, esse registro passa também por uma integração com o Ministério do Turismo. Quem controla o sistema do hotel alcança tudo isso.
Sendo exato sobre as normas: a Lei Geral do Turismo manda os meios de hospedagem informarem ao Ministério do Turismo o perfil dos hóspedes e a ocupação, observadas as normas de privacidade (Lei 11.771/2008, art. 26), e, desde a Lei 14.978/2024, o intermediário da hospedagem fica sujeito a fornecer os mesmos dados. Com a Portaria MTur nº 41/2025, a ficha ficou digital, com adesão até 20 de abril de 2026. Ela registra nome, data de nascimento, documento, CPF ou passaporte, telefone, e-mail, endereço, motivo da viagem, placa do veículo e a quantidade de menores, com as autorizações quando cabíveis; o ECA proíbe hospedar criança ou adolescente sem os pais ou responsável ou sem autorização deles (art. 82). O hotel com sistema de gestão (PMS) integra por API, com um token gerado no portal da FNRH, e pela portaria só os perfis de responsável e supervisor obtêm e substituem essa credencial. No cartão, o PCI DSS não permite guardar o código de segurança depois da autorização, nem cifrado, nem com permissão do hóspede. Um caso que mostra o tamanho do risco é o da Starwood: segundo a FTC, a invasão começou por volta de julho de 2014, só foi detectada em setembro de 2018 e alcançou 339 milhões de registros de hóspedes, com 5,25 milhões de números de passaporte sem criptografia; em 2020, o regulador britânico de proteção de dados multou a Marriott, dona da rede, em 18,4 milhões de libras. O teste cobre o caminho até esses dados: reservas, PMS, integrações, Wi-Fi e contas nas plataformas de reserva.
O que você recebe
- Pentest do motor de reservas, do site, do aplicativo e da área do hóspede
- Verificação da guarda do token da FNRH Digital e dos perfis de acesso no PMS
- Teste de separação entre Wi-Fi de hóspede, rede administrativa, PDV e câmeras
- Avaliação do caminho do cartão: link de pagamento, pré-autorização, reservas por telefone e e-mail e escopo do PCI DSS
- Revisão das contas nas plataformas de reserva e no channel manager: usuários individuais, MFA e quem fala com o hóspede
- Relatório com plano de ação e reteste antes da alta temporada
O que cobrimos
Reservas e hóspedes
Motor de reservas, área do hóspede, pré-check-in e integração com a FNRH Digital.
PMS e integrações
Sistema do hotel, channel manager, plataformas de reserva e credenciais de API.
Cartão e pagamento
Link de pagamento, pré-autorização, terminal e dados de cartão recebidos por e-mail ou telefone.
Wi-Fi e rede
Portal de acesso do hóspede, isolamento entre aparelhos e separação da rede do hotel.
Indicado para
- Hotéis, resorts e redes de hospedagem com PMS integrado
- Pousadas e hostels que usam o sistema gratuito da FNRH ou um sistema de gestão simples
- Agências de turismo e operadoras que guardam passaportes e dados de viagem de clientes
- Fornecedores de PMS e de motor de reservas que integram com a FNRH Digital
Como conduzimos
Escopo e calendário
Sistemas, integrações e datas, de preferência fora do pico de ocupação.
Teste remoto
Site, reservas, APIs, área do hóspede e perímetro, pela internet.
Contas e integrações
PMS, channel manager, plataformas de reserva e guarda do token da FNRH.
Etapa no local
Wi-Fi de hóspede e rede interna, com data combinada.
Relatório e reteste
Achados com impacto em dado de hóspede, cartão e operação, e confirmação das correções.
Perguntas Frequentes
Hotel precisa fazer pentest por alguma norma?
Não há norma de turismo que exija pentest. A LGPD exige medidas de segurança aptas a proteger os dados dos hóspedes (art. 46), e o PCI DSS exige o pentest do requisito 11.4 de quem armazena, processa ou transmite dado de cartão no próprio ambiente. Quem usa página de pagamento totalmente do provedor normalmente fica fora desse pentest, mas continua responsável pela página que leva o hóspede até ela.
O que a FNRH Digital muda na segurança do hotel?
Muda o caminho do dado e cria uma credencial nova. O hotel que usa PMS gera um token de acesso no sistema da FNRH e o entrega ao desenvolvedor do PMS; pela Portaria MTur nº 41/2025, só os perfis de responsável e supervisor obtêm e substituem essa credencial. Ela deve ser tratada como senha: guardada em e-mail, planilha ou código, é um risco que o teste verifica. O Ministério do Turismo também deixa claro que a responsabilidade pelo envio e pela veracidade dos dados é do meio de hospedagem.
O hotel pode guardar o código de segurança do cartão para garantir a reserva?
Não. O PCI Security Standards Council diz que o código de segurança é dado de autenticação sensível e não pode ser retido depois da autorização da transação, nem cifrado, e que a permissão do cliente não muda isso. O número do cartão só pode ser guardado com as proteções do PCI DSS. Ficha de reserva, e-mail ou planilha com o código anotado são achados que o teste procura.
Como golpistas usam as plataformas de reserva?
Imitam a página de login da extranet para roubar a senha do hotel e, com a conta tomada, mandam ao hóspede, pela própria plataforma, links de pagamento falsos. O Booking.com descreve esse golpe na central de parceiros e recomenda contas individuais por funcionário e autenticação de dois fatores. O teste verifica quem tem acesso às plataformas e ao channel manager, se há MFA e, se contratado, como a equipe reage a um e-mail falso.
O Wi-Fi de hóspede é um risco para o hotel?
É quando divide rede com o PMS, as câmeras, o PDV do restaurante ou os computadores da recepção. O teste parte do Wi-Fi de hóspede, como um hóspede faria, verifica se dá para alcançar essas redes e outros aparelhos conectados e confere o que o portal de acesso coleta e guarda.
Agência de turismo e operadora entram nesse pentest?
Entram. A Lei Geral do Turismo define agência de turismo como a pessoa jurídica que intermedeia, mediante remuneração, ou fornece serviços turísticos (art. 27) e, desde a Lei 14.978/2024, sujeita o intermediário da hospedagem a fornecer os mesmos dados que o hotel, nos termos de regulamento (art. 26, § 3º). Agências guardam passaporte, itinerário e pagamento de clientes; no caso Starwood, a FTC contou 5,25 milhões de números de passaporte sem criptografia entre os dados acessados. Testamos site, área do cliente, CRM, e-mail e onde ficam os documentos.