Fraude no turismo raramente começa com invasão de sistema. Começa com um e-mail que parece verdadeiro, uma fatura com dados trocados ou uma mensagem pedindo para "confirmar" um pagamento já realizado. A agência que fecha dezenas de pacotes por semana, com Pix, cartão, permuta e parcelamento acontecendo ao mesmo tempo, é exatamente o ambiente em que esses golpes funcionam melhor.
O tamanho do problema aparece nos dados. Uma pesquisa publicada em outubro de 2026 pela NordVPN e pela Saily analisou 494 vazamentos ligados ao setor de turismo entre janeiro de 2021 e agosto de 2026 e contabilizou cerca de 119,4 milhões de registros de turistas expostos. Nomes completos apareceram em 92% dos casos, telefones em 87%, endereços em 78% e senhas em 46%. Esses dados não somem depois do vazamento: eles circulam e alimentam golpes por meses.
Por que o setor de turismo atrai golpistas?
O turismo reúne, em uma única operação, tudo que um criminoso precisa para agir: alto volume de pagamentos, comunicação constante com clientes e fornecedores por e-mail e aplicativo, dados de cartão em circulação e urgência nas transações.
Uma reserva de viagem concentra nome completo, documento, data de nascimento, telefone, e-mail, endereço, itinerário, datas em que a casa ficará vazia e, muitas vezes, dados de pagamento. Para quem aplica golpes, é o kit completo. Com esses dados em mãos, a mensagem falsa parece legítima porque cita informações reais da reserva.
Some a isso a pressão da temporada. Em dezembro e janeiro, agências fecham pacotes em sequência, equipes trabalham sobrecarregadas e o cliente quer garantir a tarifa antes que ela suba. Nesse contexto, a verificação cuidadosa perde para a velocidade. É exatamente aí que o phishing funciona melhor.
Como funciona o phishing no turismo?
Os golpes mais comuns no setor seguem três roteiros que o relatório da Action Fraud sobre fraudes na Booking.com ajuda a ilustrar. Entre junho de 2023 e setembro de 2024, o órgão britânico de combate à fraude recebeu 532 denúncias de golpes envolvendo contas de hotéis comprometidas na plataforma, com prejuízo total de £370 mil.
Sequestro da reserva. Com dados reais em mãos, o criminoso se passa pela agência, pelo hotel ou pela companhia aérea. A mensagem informa que é preciso "confirmar" ou "complementar" o pagamento, geralmente via Pix ou link de cartão. O detalhe que engana: a mensagem cita o nome correto do cliente, o destino real e as datas certas.
Comprometimento do e-mail corporativo. Um colaborador clica em uma mensagem falsa, a conta é tomada e o criminoso passa a responder clientes e fornecedores a partir da caixa legítima. A partir daí, ele troca os dados bancários em faturas e confirmações de pagamento. O cliente recebe um e-mail que veio, de fato, do endereço da agência.
Malware disfarçado de suporte. Técnicas como o ClickFix induzem o funcionário a colar e executar um comando para "corrigir um erro" no sistema, instalando um programa que rouba credenciais do sistema de reservas, do GDS e do e-mail corporativo.
A maioria dessas invasões começa com credenciais legítimas obtidas por phishing, não com vulnerabilidades técnicas sofisticadas. A principal porta de entrada é humana.
Fraude em pagamentos: o golpe que atinge o caixa direto
A fraude em pagamentos é o desdobramento mais caro do phishing no turismo. Depois de comprometer o e-mail de um colaborador ou de um fornecedor, o criminoso monitora a troca de mensagens e intervém quando uma fatura está prestes a ser paga.
A agência aguarda a confirmação de pagamento ao hotel ou à operadora. O criminoso, já com acesso à caixa de e-mail, envia uma mensagem informando que houve "atualização dos dados bancários" e solicita que o pagamento seja feito para a nova conta. A mensagem vem do endereço correto, usa o mesmo padrão de comunicação e cita valores reais.
Quando a transferência é feita, o dinheiro vai para a conta do golpista. O hotel nunca recebe, a reserva não é confirmada e a agência perde o valor duas vezes: no pagamento ao criminoso e, muitas vezes, no reembolso ao cliente.
As consequências vão além do prejuízo financeiro imediato. A agência que paga uma fatura falsa e não entrega a reserva prometida responde ao cliente pelo problema. Dependendo do caso, isso inclui chargeback no cartão de crédito, reclamações no Procon e, potencialmente, responsabilização sob a LGPD (Lei nº 13.709/2018) quando dados pessoais estiverem envolvidos no incidente.
O impacto de um incidente para uma agência de viagem
Um ataque bem-sucedido gera consequências em camadas. A primeira é financeira e imediata: o valor desviado, o reembolso ao cliente e as horas gastas em atendimento de crise. A segunda é operacional: enquanto o incidente é investigado e contido, a operação normal fica comprometida.
A terceira camada é a mais duradoura: reputação. Uma agência que tem os dados dos clientes expostos ou que deixa uma reserva sem confirmação por fraude carrega isso por muito tempo. Em um setor que depende de confiança e de indicação, o dano reputacional pode ser maior que o financeiro.
Há ainda o risco regulatório. A Resolução CD/ANPD nº 15/2024 estabelece que incidentes com risco ou dano relevante aos titulares precisam ser comunicados à ANPD e aos clientes em até três dias úteis. Uma agência que não tem visibilidade sobre o que aconteceu nos seus sistemas não consegue cumprir esse prazo.
Como proteger a operação na prática?
As defesas mais eficazes combinam tecnologia e processo. Nenhuma das duas, sozinha, é suficiente.
Autenticação de e-mail com SPF, DKIM e DMARC em modo de rejeição. Esses três protocolos impedem que terceiros enviem mensagens em nome do domínio da agência. Sem eles, qualquer pessoa pode enviar um e-mail que parece vir do seu endereço. A configuração correta do DMARC em modo de rejeição é o que diferencia proteção real de proteção parcial.
Autenticação multifator em todos os sistemas críticos. E-mail corporativo, sistema de reservas, GDS e portais de operadoras precisam de MFA. Credencial comprometida sem MFA é acesso imediato. Com MFA, o criminoso precisa de um segundo fator que ele não tem.
Proteção de endpoints com EDR/XDR. Essa camada detecta e bloqueia a execução de scripts suspeitos nos computadores da equipe, incluindo os colaboradores temporários contratados para a alta temporada.
Regra de ouro para pagamentos. Nenhuma alteração de dados bancários é processada com base em e-mail ou mensagem, independentemente de onde a mensagem veio. Toda mudança é confirmada por um segundo canal já conhecido, como telefone com número verificado anteriormente.
Treinamento da equipe, incluindo temporários. Phishing funciona porque as pessoas clicam. Um treinamento curto e prático, focado nos golpes mais comuns do setor, reduz significativamente a superfície de ataque humana.
O papel da infraestrutura segura na prevenção
Processos bem definidos não bastam quando a infraestrutura que os sustenta tem brechas. Um ambiente de e-mail corporativo bem configurado, com filtro anti-spam, proteção anti-phishing, análise de anexos em sandbox e varredura de URLs, reduz o volume de mensagens maliciosas que chegam à caixa de entrada antes de qualquer decisão humana.
Monitoramento contínuo do ambiente permite identificar comportamentos anômalos, como acesso à caixa de e-mail a partir de um IP desconhecido ou envio em massa de mensagens, antes que o dano se consolide. Backup imutável garante que, mesmo em caso de ransomware ou comprometimento de sistema, a operação seja restaurada a partir de uma cópia íntegra.
A Proteção de E-mail da PWS Cloud combina filtro anti-spam, anti-phishing, sandbox de anexos e varredura de URLs. Junto com a Cibersegurança gerenciada, que inclui monitoramento contínuo e resposta a incidentes, e o Backup com cópias imutáveis, essas soluções formam uma base que protege a operação sem depender de que cada colaborador tome a decisão certa em cada mensagem que recebe.
Checklist: o que revisar na segurança da sua agência?
Marque o que a sua operação já tem configurado:
SPF, DKIM e DMARC ativos, com DMARC em modo de rejeição
MFA ativado no e-mail corporativo, no sistema de reservas e no GDS
Proteção de endpoints (EDR/XDR) nos computadores da equipe, incluindo temporários
Regra documentada de que alterações de dados bancários são confirmadas por canal alternativo
Treinamento de phishing realizado nos últimos seis meses
Backup imutável com restauração testada nos últimos 90 dias
Monitoramento ativo do ambiente de e-mail e de acessos
Se três ou mais itens ficaram sem marcação, a operação tem brechas abertas antes mesmo do pico de vendas.
Proteger a operação é proteger a confiança do cliente
Fraude no turismo não é um risco abstrato. É uma ameaça concreta que usa dados reais, explora a urgência da temporada e tem como alvo preferencial exatamente o tipo de operação que uma agência de viagens representa. Nomes, documentos, itinerários e dados de pagamento circulando em e-mails e sistemas durante o dia inteiro criam uma superfície de ataque permanente.
A proteção começa antes do incidente: com autenticação de e-mail configurada, MFA em todo sistema crítico, equipe treinada e infraestrutura monitorada. Quem chega ao pico com essas camadas no lugar tem uma operação muito mais difícil de comprometer.
Se quiser avaliar como está o ambiente atual da sua agência, a equipe da PWS Cloud está disponível para essa conversa. Fale com um especialista e receba um diagnóstico sem compromisso.
