Phishinggolf bij Vlaamse hotels: het ketenrisico voor uw kmo

In juni 2026 kregen bijna honderd Vlaamse en Waalse hotels klachten van gasten die via WhatsApp en e-mail waren benaderd met valse betaalverzoeken. Het verontrustende detail: de berichten bevatten de juiste naam, de exacte verblijfsdata en het echte boekingsnummer. Deze phishinggolf bij hotels laat scherp zien hoe een gehackt boekingsplatform een kmo raakt die zelf niets fout deed. De les reikt ver buiten de horeca: wie afhankelijk is van externe software, deelt ook het risico van die software.

In het kort

• Criminelen gebruikten echte reserveringsdata uit het platform-ecosysteem om uiterst geloofwaardige berichten op te stellen.
• De hotels werden meestal niet zelf gehackt; de data lekte via gecompromitteerde accounts of koppelingen bij externe platformen.
• Onder de AVG blijft uw bedrijf verwerkingsverantwoordelijke, ook als het lek bij een leverancier ontstaat.
• Een datalek met risico voor betrokkenen meldt u binnen 72 uur aan de GBA en communiceert u naar de klant.
• Dit ketenrisico speelt evengoed in de boekhouding, e-commerce en logistiek.

Wat gebeurde er medio 2026 in de Vlaamse horeca?

Platform-spearphishing is gerichte oplichting waarbij aanvallers niet de centrale database van een techgigant kraken, maar via echte boekingsdata individuele klanten rechtstreeks benaderen. Zo hoeven ze alleen de exacte gegevens van een reservering te bemachtigen om overtuigend over te komen.

De aanvalsketen verliep vermoedelijk in stappen. Criminelen infecteerden de werkstations van hotelrecepties met infostealer-malware. Zodra die actief was, ontfutselden ze de inloggegevens van partnerportalen zoals het Booking.com Extranet of gekoppelde channel managers. Met die toegang trokken ze actuele reserveringslijsten op. Gewapend met voor- en achternaam, verblijfsdata, reserveringsnummer en gsm-nummer stuurden ze gasten een bericht dat hun boeking “gepauzeerd” was wegens een mislukte kaartverificatie. De links leidden naar nagemaakte betaalpagina’s waar slachtoffers hun kaartgegevens invoerden.

Eén nuance is belangrijk: forensisch onderzoek moet per geval nog uitwijzen of de data lekte via overgenomen hotelaccounts dan wel via een kwetsbaarheid bij een centrale koppeling. Wat wel vaststaat, is dat de berichten authentieke reserveringsdata gebruikten. Safeonweb, het CCB, de Federale Politie en Horeca Vlaanderen waarschuwden er gezamenlijk voor.

Waarom deze maatwerk-phishing zo succesvol is

Generieke phishing valt op door vage aanspreektitels en fouten. Spearphishing met echte boekingsdata doet dat niet. Een gast die net een hotel boekte en een bericht krijgt met zijn correcte reserveringsnummer, twijfelt nauwelijks. De cijfers tonen de versnelling: de Fraudehelpdesk registreerde in het eerste kwartaal van 2026 zowat 400 meldingen over Booking.com-phishing, waarvan 360 via WhatsApp, tegenover een zestigtal een jaar eerder. Dat is een toename van meer dan 500%. De gerapporteerde schade in dit type oplichting verdubbelde op jaarbasis.

De mythe van uitbestede veiligheid

Veel kmo-bestuurders gaan ervan uit dat het uitbesteden aan een groot, gerenommeerd platform het risico volledig wegneemt. Beveiliging is echter een gedeelde verantwoordelijkheid. Lekt een receptiemedewerker via een phishingmail zijn inloggegevens, dan kan het platform niet verhinderen dat aanvallers met geldige toegang reserveringsdata exporteren. En de reputatieschade treft niet het softwarebedrijf achter de schermen, maar rechtstreeks uw merk.

Juridisch is het beeld helder. Onder de AVG is een hotel de verwerkingsverantwoordelijke voor de gegevens van zijn klanten; het boekingsplatform of de channel manager treedt op als verwerker. Lekt er data via de verwerker, dan ontslaat dat u niet van uw plichten. Houdt de inbreuk een risico in voor de betrokkenen, en bij valse betaalverzoeken met kans op financieel verlies is dat het geval, dan meldt u het datalek binnen 72 uur aan de Gegevensbeschermingsautoriteit en informeert u de getroffen klanten rechtstreeks.

Ketenrisico buiten de horeca

Hetzelfde patroon duikt in andere sectoren op. In de boekhouding en de juridische dienstverlening breken aanvallers binnen via gekoppelde cloud-facturatieplatformen en sturen ze uit naam van de kmo facturen met een gewijzigd IBAN naar de eindklanten. In e-commerce en logistiek worden bestelplatformen en middleware gecompromitteerd om valse verzend- en betaalinstructies te verspreiden. Telkens is de individuele kmo niet in haar eigen servers gehackt, maar draagt ze wel de volledige financiële en reputatieschade van een zwakke schakel in het software-ecosysteem. Hoe zo’n aanval zich verder ontrolt, leest u in onze analyse van de supply chain-aanval en leveranciersrisico. De NIS2-wetgeving versterkt die druk: grote, NIS2-plichtige partners leggen contractueel cybersecurity-eisen op aan hun leveranciers, waardoor ketenbeveiliging een voorwaarde wordt om te mogen samenwerken.

Vijf stappen om uw bedrijf en klanten te beschermen

1. Dwing multifactorauthenticatie af op elk account dat toegang geeft tot externe beheerdersportalen. Dit is de belangrijkste technische barrière.
2. Audit uw externe softwarekoppelingen. Inventariseer welke platformen en integraties klantdata verwerken en of er een sluitende verwerkersovereenkomst met meldplicht is.
3. Train uw personeel op infostealer-malware en op verdachte bijlagen of links die zich voordoen als reserverings- of leveranciersupdates.
4. Harmoniseer uw klantcommunicatie. Vermeld op uw website en in bevestigingen expliciet dat u nooit via WhatsApp of sms om betalingen of kaartverificaties vraagt.
5. Leg een incident- en datalekprotocol vast. Weet vooraf hoe u sessies stopzet, wachtwoorden reset, de impact inschat en binnen 72 uur meldt.

Uw keten in kaart met Cyberplan

Dit incident bewijst dat perfecte eigen beveiliging niet volstaat wanneer een leverancier de zwakke schakel is. Cyberplan brengt uw externe koppelingen en verwerkersovereenkomsten in kaart, test met een audit of uw platformaccounts en receptiewerkstations bestand zijn tegen infostealers, en helpt u een crisis- en communicatieplan opstellen zodat u bij een lek snel en correct handelt tegenover de GBA en uw klanten. Zo blijft het vertrouwen van uw gasten overeind. Plan een vrijblijvende kennismaking om uw ketenrisico’s door te lichten.

Veelgestelde vragen

Is ons hotel aansprakelijk als gasten worden opgelicht via een gehackt boekingsplatform?

Als verwerkingsverantwoordelijke blijft uw bedrijf onder de AVG verantwoordelijk voor de persoonsgegevens van uw klanten. Ontstaat er een datalek met risico voor de betrokkenen, dan moet u dat binnen 72 uur melden bij de GBA en de getroffen klanten informeren, ook als de oorzaak bij een externe leverancier ligt.

Hoe komen oplichters aan de echte reserveringsgegevens?

Meestal via infostealer-malware op de werkstations van de receptie, waarmee ze de inloggegevens van boekingsportalen bemachtigen en actuele reserveringslijsten opvragen. In sommige gevallen wordt ook gespeculeerd over kwetsbaarheden bij centrale koppelingen. Forensisch onderzoek moet dat per geval bevestigen.

Wat doen we direct als klanten verdachte berichten met correcte gegevens melden?

Verbreek de actieve sessies op het externe platform, reset alle wachtwoorden en dwing MFA af. Verwittig de platformbeheerder, voer een scan uit op de lokale werkstations en stel vast welke gegevens betrokken zijn. Bereid zo nodig binnen 72 uur een datalekmelding bij de GBA voor.

Welke invloed heeft NIS2 op kmo’s die er niet rechtstreeks onder vallen?

NIS2-plichtige organisaties moeten hun toeleveringsketen beveiligen en leggen daarom strengere eisen op aan hun leveranciers. Kmo’s die hun beveiliging en AVG-compliance niet kunnen aantonen, riskeren op termijn opdrachten en samenwerkingen te verliezen.