Ilustración: una película de escaneo, en nubes de puntos, de los lugares de un hotel o un edificio: el hotel de noche visto desde la calle, el vestíbulo y su recepción, un pasillo de cerraduras electrónicas, la sala de máquinas, una habitación de noche, las climatizadoras de la azotea y la marca de Cantic. Las etiquetas muestran lecturas y direcciones ficticias.
HotelesOficinasCentros comercialesApartamentos
Entramos en tu hotel o edificio antes que un delincuente.
De tu motor de reservas y tu portal de inquilinos a tus ascensores, accesos y sistemas del edificio. Con Fortify, escribimos el arreglo en 24 horas.
Edificios y hostelería
Un delincuente solo necesita una vía de entrada a tu edificio.
Cada línea que llega a internet es una puerta.
Eclipse, nuestro propio modelo entrenado para atacar, sigue hasta que puede demostrar el control total.
Dicho claro: un atacante que trabaja para tu empresa.
Hasta dónde llega Eclipse
- Web
- Aplicaciones
- Correo
- Accesos
- Nube
- Servidores
- Red interna
- Máquinas
Con qué funciona tu empresa
Sabemos con qué funcionan hoteles y edificios. Los delincuentes, también.
Empresas externas
- Tu proveedor informático
- Empresas de software hotelero
- Empresa de mantenimiento integral
- Empresa de ascensores
- Proveedor de cerraduras
Acceso remoto
- VPN
- Escritorio remoto
- Portales de proveedores
- Paneles en la nube
-
Recepción
- Gestión hotelera (PMS)
- Datáfonos
- Codificador de tarjetas
- Registro de viajeros
-
Reservas e inquilinos
- Motor de reservas de la web
- Channel manager
- Plataformas de reserva
- Portal de inquilinos
-
Habitaciones
- Cerraduras electrónicas
- Wifi de clientes
- Climatización
-
Vestíbulo y accesos
- Control de accesos
- Quioscos de visitas
- Ascensores
- Cámaras
-
Sala de máquinas
- Gestión del edificio
- Climatización
- Contadores de energía
- Incendios y alarmas
-
Aparcamiento
- Barreras
- Lectores de matrículas
- Cajeros de pago
- Puntos de recarga
Ataque real
Ataques que llegaron a hoteles, edificios y a quienes los gestionan.
-
España
Una web de reservas de viajes en España
Estancias en hoteles de lujo constaban como pagadas tras pagos de 0,01 €; la Policía Nacional detuvo a un joven de 20 años.
Fuentes INCIBE-CERT Escudo Digital
-
Barcelona (España)
La bolsa de alquiler municipal de Barcelona
Quedaron expuestos los datos de contacto de unas 6.800 personas, según el Ayuntamiento.
Fuentes El Periódico ABC
-
Internacional
BWH Hotels, grupo hotelero
Se accedió a nombres, datos de contacto y reservas de algunos huéspedes, pero no a datos de pago, según el grupo.
Fuentes Security Affairs SecurityWeek
Comparado
Esto no es un pentest anual.
| Un pentest normal | Cantic |
|---|---|
| Una vez al año | Día y noche, y con cada cambio |
| Un PDF semanas después | Pruebas en el momento, con la reproducción |
| Se queda en la web | De la web al servidor y a la máquina |
| Tú buscas el arreglo | Escribimos el arreglo en un plazo de 24 horas |
| Esperas que aguante | Volvemos a atacar para comprobar que aguanta |
Bajo tu control
Dentro de las reglas que tú firmas.
Límites claros y privacidad de los datos para hoteles, edificios y quienes los usan.
No se ejecuta nada hasta que firmas
Una autorización y unas reglas de intervención, firmadas por quien puede autorizar la prueba.
Dentro de los límites que fijas
Tu alcance, tu horario y tus límites. Se detiene cuando puede demostrar el control.
Detén la prueba en 60 segundos
Ritmo limitado y tiempo acotado, así que tus sistemas no se ralentizan.
Cada acción, en el registro
Con hash y sello de tiempo en un registro que puedes inspeccionar, y en directo.
Una persona en cada hallazgo crítico
Un responsable asignado de nuestro equipo.
Ninguna empresa externa de IA ve tus datos
Eclipse es nuestro propio modelo, en nuestros propios servidores.
Destruidos al terminar el trabajo
Lo borramos en varios pasos en nuestros sistemas; no nos lo quedamos. Informes de la primera prueba: 14 días si no te suscribes.
El arreglo llega a tu proveedor informático
Los hallazgos y los arreglos van a tu propio equipo o a tu proveedor informático.
Normativa
Las normas que se aplican a un hotel o un edificio.
- PCI DSS pide pruebas de penetración al menos cada 12 meses y tras cualquier cambio significativo (11.4.2 a 11.4.4). 1
- La ley española obliga a los hoteles a llevar un registro informático de cada viajero, con su medio de pago, durante tres años. 2
- Las instalaciones térmicas de más de 70 kW necesitan una empresa mantenedora habilitada con contrato, o personal propio que cumpla los requisitos (RITE, artículo 26). 3
- Un ascensor necesita contrato con una empresa conservadora habilitada y comunicación bidireccional con un centro de rescate (ITC AEM 1). 4
Preguntas
Lo que nos preguntan
- ¿Qué probaríais?
- Tu web, tu motor de reservas, tu portal de inquilinos, tu correo, las VPN, los escritorios remotos y los accesos de tus mantenedores, desde fuera.
- Nuestros mantenedores se conectan desde fuera. ¿Lo probáis?
- Sí, dentro del alcance que firmas: Eclipse prueba desde fuera cada acceso de mantenedor, VPN y herramienta de escritorio remoto.
- ¿Ayuda con PCI DSS?
- Sí: con Fortify probamos tras cada cambio y guardamos la evidencia de la nueva prueba, pero no certificamos el cumplimiento.
- Ya tenemos una empresa informática. ¿Por qué vosotros?
- Tu empresa informática hace funcionar tus sistemas y nosotros los atacamos: son dos trabajos distintos.
Cómo empieza
Tus resultados en un día.
Tú firmas las reglas
Una autorización y unas reglas de intervención, firmadas antes de que se ejecute nada.
Eclipse prueba lo que está dentro del alcance
Desde fuera, como lo haría un atacante. No hay nada que instalar.
Ponemos los hallazgos sobre la mesa
En lenguaje claro, con lo que hay que hacer. Cada hallazgo llega con su prueba.
Fuentes
- PCI Security Standards Council, Middlebury College, Payment Card Industry Data Security Standard: Requirements and Testing Procedures, Version 4.0.1, . Consultado el .
- Boletín Oficial del Estado (BOE), Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor, . Consultado el .
- Boletín Oficial del Estado (BOE), Real Decreto 1027/2007, de 20 de julio, por el que se aprueba el Reglamento de Instalaciones Térmicas en los Edificios, . Consultado el .
- Boletín Oficial del Estado (BOE), Real Decreto 355/2024, de 2 de abril, por el que se aprueba la Instrucción Técnica Complementaria ITC AEM 1 «Ascensores», que regula la puesta en servicio, modificación, mantenimiento e inspección de los ascensores, así como el incremento de la seguridad del parque de ascensores existente, . Consultado el .