Update, juni 2026. Het datalek is groter dan eerst gedacht. Inmiddels zijn zeker honderd Nederlandse en Belgische hotels getroffen, met meldingen tot in Ierland. Zelf kreeg ik meerdere berichten, waaronder een uit Duitsland en een uit Kroatië. Er gaan dagelijks tientallen phishingberichten naar gasten. De bron is nog niet helder. Eén systeem als oorzaak is niet aangewezen. De aanwijzingen wijzen naar de hoteltechnologie- en distributieketen: reserveringssystemen, channel managers en hun koppelingen. Het lijkt geen enkele zwakke plek, maar een combinatie van schakels in die keten.
In 2026 zijn meerdere hotels in Nederland en België getroffen door een datalek. Gasten ontvingen daarna nepberichten met kloppende boekingsgegevens. Sommigen raakten geld kwijt. Dit artikel legt uit hoe het zo ver komt, hoe je het voorkomt en wat je doet als het toch gebeurt. Onderaan staat een Do’s en Don’ts voor het moment zelf, plus een protocol dat je kunt downloaden.
Het probleem: jouw gast is de dupe, en daarmee jij
Een hotel verwerkt veel gegevens. Naam, telefoonnummer, e-mailadres, aankomstdatum, prijs en soms betaalgegevens. Die gegevens zijn waardevol voor oplichters. Niet om het hotel direct af te persen, maar om de gast op te lichten.
Het patroon is steeds hetzelfde. De gast ontvangt een bericht via WhatsApp of mail. Het bericht lijkt van het hotel of van de boekingssite te komen. Alle gegevens kloppen: de juiste datum, het juiste hotel, het juiste bedrag. Er wordt gevraagd om snel te betalen of gegevens te bevestigen. Vaak met tijdsdruk.
Drie recente voorbeelden tonen hoe het werkt.
Booking.com bevestigde begin 2026 dat onbevoegden toegang hadden gehad tot boekingsgegevens van een deel van de klanten. Het ging om namen, e-mailadressen, adressen, telefoonnummers en boekingsdetails. Daarna werden gasten benaderd door oplichters die zich voordeden als het hotel of als het platform.
In België werden in juni 2026 honderden hotelgasten opgelicht. Ze kregen een bericht met de tekst dat hun boeking binnen elf uur zou vervallen als ze niet betaalden. De gegevens in het bericht klopten tot in detail.
En in 2025 werd de keten Van der Valk getroffen. Een medewerker klikte op een nepinlogpagina voor het personeel. Daardoor konden criminelen honderden reserveringen inzien bij twee hotels. Gasten werden opgelicht. Eén gast verloor tweehonderd euro.
Voor de gast maakt het niet uit waar het lek zat. Of de boekingssite gehackt is of het hotel zelf, de gast krijgt hetzelfde nepbericht. En de gast legt de schuld bij het hotel. De reputatieschade valt dus altijd deels op jou, ook als jij niets fout deed.
Zo ziet zo’n bericht er in het echt uit
Ook mijn eigen gegevens zijn via een hotelboeking buitgemaakt. Kort na de boeking kreeg ik een bericht via WhatsApp. Eerst een vriendelijke AI-assistent die alles van mijn boeking leek te weten. Daarna het verzoek om snel een aanbetaling te doen, anders zou de reservering vervallen. De naam van het hotel laat ik hier weg.
Wat ik zelf deed
Ik heb niet op de link geklikt en niet gereageerd. Reageren bevestigt alleen dat je nummer actief is en lokt meer berichten uit. Ik heb het nummer geblokkeerd en als spam gerapporteerd. Daarna heb ik het hotel rechtstreeks gebeld, via het nummer op hun eigen website. Niet via een nummer of link uit het bericht.
Hoe herken je de nep-link?
Ik heb de link niet geopend, maar veilig laten controleren via twee scandiensten. De uitkomst was duidelijk. Het domein was enkele dagen oud, terwijl een echt hotel zijn website al jaren heeft. Het verstopte zich achter een dienst die de werkelijke locatie verbergt. En meerdere onafhankelijke beveiligingspartijen markeerden de pagina als phishing en malware. Eén ding is het gevaarlijkst. Vlak nadat de gast het bericht krijgt, is het domein nog zo nieuw dat geen enkele beveiligingsdienst het al heeft gemarkeerd. De waarschuwing komt pas dagen later. Je kunt dus niet vertrouwen op je browser of virusscanner. Je moet het bericht zelf herkennen.
Waarom hotels steeds vaker doelwit zijn
Voordat oorzaken aan bod komen, eerst dit: door hoeveel systemen gaat de data van één gast eigenlijk?
Meer dan de helft van de hotelreserveringen komt tegenwoordig binnen via een boekingssite. De gastdata loopt dan van die boekingssite, vaak via channelmanagement software, naar het reserveringssysteem. Daar komt meestal nog een betaalprovider bij, een klantsysteem en een berichtendienst om de gast via WhatsApp te bereiken. Nog voordat de gast in het hotel is, gaat het al snel om minimaal 5 systemen.
Tijdens het verblijf komen er meer bij. De gast wordt naar zijn ervaring gevraagd via een reputatietool. Via een koppeling met housekeeping vraagt hij een extra kussen of een speciaal verzoek. En om de gast te verwelkomen werkt het hotel met een narrowcasting-partner, zodat de televisie op de kamer persoonlijke content toont. “Fijn dat je er bent.”
Dat is allemaal prima en nuttig. Maar door die versnippering staat de data van één gast in heel veel systemen tegelijk.
En dat is precies waar het risico begint. Drie oorzaken maken de hotelbranche daardoor een aantrekkelijk doelwit.
De keten is versnipperd. Diezelfde gastdata staat dus op al die plekken tegelijk. In het reserveringssysteem, in de channel management software, in de boekingsmodule op de eigen website, in het extranet van de boekingssites en bij de betaalprovider. Eén zwakke schakel is genoeg. Het lek kan overal zitten en is vaak moeilijk te herleiden.
De gegevens gaan over de toekomst. Een reservering bevat de naam, de datum, de prijs en het hotel voor een verblijf dat nog moet komen. Daardoor is een nepbericht extreem geloofwaardig. De gast herkent zijn eigen boeking en twijfelt niet.
Er is een betaalmoment. Veel hotels laten gasten vooraf betalen of bij aankomst. Dat geeft de oplichter een natuurlijk haakje. Een betaalverzoek voelt logisch. De tijdsdruk doet de rest.
De hotelbranche draait op data, en die data moet kloppen. Er gaan enorme hoeveelheden gastgegevens over de lijnen tussen boekingssites, distributiesoftware en reserveringssystemen.
Dit risico komt bovendien op een lastig moment. De marges van Nederlandse hotels staan in 2026 al onder druk door stijgende kosten en de perfecte storm die op de sector afkomt. Een datalek erbovenop raakt precies waar het hotel het minst kan hebben.
Hoe voorkom je een datalek?
Je houdt de deur nooit honderd procent dicht. Dat is de eerlijke waarheid. Maar met een paar basismaatregelen houd je hem zo dicht mogelijk.
- Gebruik een extra inlogstap op al je systemen. Naast een wachtwoord vraagt het systeem dan om een code, bijvoorbeeld via je telefoon. Dit heet multifactor-authenticatie(MFA). Het is de belangrijkste maatregel. Een gestolen wachtwoord alleen is dan niet genoeg.
- Geef medewerkers alleen toegang tot wat ze nodig hebben. Niet iedereen hoeft bij alles te kunnen. Hierover later meer.
- Scheid de wifi voor gasten van de wifi voor je eigen systemen. Een gast hoort nooit op hetzelfde netwerk te zitten als je reserveringssysteem.
- Train je mensen in het herkennen van phishing. De meeste lekken beginnen bij een medewerker die op een verkeerde link klikt. Een korte, herhaalde training helpt aantoonbaar.
- Controleer je leveranciers. Vraag je boekingssoftware en betaalprovider hoe zij hun beveiliging regelen. Jij bent verantwoordelijk voor de gegevens van je gast, ook als een partner het lek veroorzaakt.
- Controleer periodiek wie toegang heeft tot welk systeem. Mensen wisselen van functie of vertrekken. Oude accounts blijven vaak openstaan. Kijk ook naar exports. Wie kan lijsten met gastgegevens uit je systemen halen, en waar belanden die bestanden?
Het is toch gebeurd. Wat nu?
Snelheid is alles. Werk de volgende stappen in volgorde af.
- Neem de regie. Bepaal direct wie binnen het hotel de leiding heeft. Regie betekent niet dat die persoon alles zelf doet. Het betekent dat hij in de lead is. Alle besluiten, alle communicatie en alle aanpassingen in het protocol lopen via deze persoon. Zo voorkom je dat mensen langs elkaar heen werken of dat niemand iets doet.
- Dicht eerst het lek. Isoleer de getroffen systemen. Trek desnoods alle toegang in en reset alle wachtwoorden. Zolang de toegang openstaat, blijft alles symptoombestrijding.
- Breng in kaart welke gegevens zijn gelekt. Zijn het alleen contactgegevens of ook betaalgegevens? Gaat het om toekomstige reserveringen of ook om historische? Dit bepaalt hoe groot het risico is en wat je moet communiceren.
- Meld het bij de Autoriteit Persoonsgegevens. Dat is de privacytoezichthouder in Nederland. Een datalek moet binnen 72 uur na ontdekking worden gemeld. Lukt dat niet, dan moet je de vertraging motiveren. Drukte of een weekend zijn geen geldig excuus. Bij twijfel: meld het toch. Niet melden is het grotere risico.
- Schakel experts in. Een IT-beveiliger en bij voorkeur een privacyjurist. Zij helpen het lek te dichten en de melding correct te doen.
- Leg direct een datalekregister aan. Dat is een interne lijst waarin je het lek vastlegt. Noteer wat er is gebeurd, welke gegevens zijn geraakt, welke partijen betrokken waren en welke stappen je hebt gezet. Bewaar het bewijs van je communicatie naar gasten. Dit register is wettelijk verplicht, ook als je het lek uiteindelijk niet hoeft te melden.
Wat communiceer je naar je gasten?
Bij een datalek in een hotel gaat het vaak om een combinatie van gegevens die voor de gast heel betrouwbaar overkomt. Naam, datum, hotel en bedrag samen. Het risico op misbruik is daarom hoog. Bij een hoog risico ben je verplicht je gasten te informeren. Zie het als zorgplicht. Je waarschuwt je gast zodat hij niet in de val trapt.
Doe dit zo gericht mogelijk. Kun je herleiden welke gasten zijn geraakt? Communiceer dan alleen naar die gasten. Kun je dat niet? Dan informeer je iedereen die mogelijk geraakt is.
Wees duidelijk en op tijd. Vertel wat er is gebeurd, welke gegevens mogelijk zijn ingezien en wat de gast moet doen. Zet er één vaste regel bij die elk nepbericht ontmaskert: wij vragen nooit via WhatsApp of mail om een betaling.
De boze reacties in de pers gaan zelden over het lek zelf. Ze gaan over hotels die hun gasten niet of te laat waarschuwden. Open communicatie beschermt je gast én je reputatie.
Voorkom herhaling: organiseer het vooraf
Een datalek overkomt je niet alleen. Het is ook een kwestie van organisatie. Regel het volgende voordat het misgaat.
Stel iemand aan die hier verantwoordelijk voor is. Eén persoon binnen je organisatie die het overzicht houdt en die weet wat te doen.
Beperk systeemtoegang per rol. Geef mensen alleen toegang tot wat hun werk vereist. Een paar voorbeelden. Een receptiemedewerker moet weten of een reservering betaald is, maar hoeft de betaalgegevens zelf niet te zien. Een marketeer heeft geen toegang nodig tot reserveringen in het systeem. Housekeeping hoeft niet te weten waar een gast woont of wat zijn e-mailadres is.
Stel een protocol op voor wat te doen bij een datalek. Leg de stappen vast zodat niemand bij paniek hoeft na te denken. Onderaan dit artikel kun je een voorbeeld downloaden.
Zet het onderwerp standaard op de agenda van je werkoverleg. Bespreek incidenten en bijna-incidenten. Zo leer je ervan en blijft iedereen alert.
Train je mensen in het herkennen van phishing. Blijf dit herhalen. Dit is je belangrijkste verdediging.
Met deze stappen voorkom je niet elk lek. Maar je verkleint de kans dat jouw gasten erbij betrokken raken, en je staat klaar als het toch gebeurt.
Wil je dit goed regelen?
Download het voorbeeldprotocol en pas het aan voor jouw hotel. Het bevat de stappen, de rollen en de communicatie die je nodig hebt bij een datalek.
Wil je advies over jouw situatie of je systemen? Neem contact op.
Veelgestelde vragen over een datalek in je hotel
Wat moet ik doen bij een datalek in mijn hotel?
Neem direct de regie en dicht het lek. Bepaal wie de leiding heeft. Isoleer de getroffen systemen en reset wachtwoorden. Breng in kaart welke gegevens zijn geraakt. Meld het binnen 72 uur bij de Autoriteit Persoonsgegevens. Informeer je gasten op tijd. Leg alles vast in een datalekregister. Snelheid bepaalt de schade.
Moet ik een datalek melden bij de Autoriteit Persoonsgegevens?
Ja, bij een risico voor je gasten moet je een datalek melden bij de Autoriteit Persoonsgegevens. Dat is de privacytoezichthouder in Nederland. Twijfel je of het moet? Meld het toch. Niet melden is het grotere risico.
Binnen hoeveel tijd moet ik een datalek melden?
Binnen 72 uur na ontdekking van het lek. Lukt dat niet, dan moet je de vertraging motiveren. Drukte, ziekte of een weekend gelden niet als geldig excuus.
Moet ik mijn gasten informeren over een datalek?
Ja, bij een hoog risico voor je gasten ben je verplicht hen te informeren. Bij een hotel gaat het vaak om een combinatie van naam, datum en boeking. Die komt voor de gast heel betrouwbaar over, dus het risico is hoog. Kun je herleiden welke gasten geraakt zijn? Informeer dan alleen hen. Lukt dat niet, informeer dan iedereen die mogelijk geraakt is.
Krijg ik een boete als ik een datalek niet meld?
Ja, een terechte melding overslaan kan een boete opleveren. Datzelfde geldt als je een lek met hoog risico verzwijgt voor je gasten. Op tijd melden en communiceren beschermt je tegen die boete en tegen reputatieschade.
Wie is verantwoordelijk bij een datalek: het hotel of de boekingssite?
Voor je gasten ben jij het aanspreekpunt, ook als het lek bij een partner zat. De gast ziet het verschil niet tussen een gehackte boekingssite en een gehackt hotel. Hij krijgt hetzelfde nepbericht. Daarom valt de reputatieschade altijd deels op het hotel.
Waarom worden hotels steeds vaker getroffen door datalekken?
Omdat gastgegevens op veel plekken tegelijk staan en de keten versnipperd is. De gegevens staan in je reserveringssysteem, je verdeelsoftware, de boekingssites en bij je betaalprovider. Eén zwakke schakel volstaat. De gegevens gaan bovendien over een verblijf dat nog moet komen, en er is een betaalmoment. Dat maakt een nepbericht geloofwaardig.
Hoe voorkom ik een datalek in mijn hotel?
Geen enkele maatregel is waterdicht, maar een paar basisstappen helpen het meest. Gebruik een extra inlogstap naast het wachtwoord op al je systemen. Geef medewerkers alleen toegang tot wat hun werk vereist. Scheid de gastwifi van je interne systemen. Train je mensen in het herkennen van phishing. Controleer de beveiliging van je leveranciers.
Hoe herkennen mijn gasten een phishingbericht?
Aan het betaalverzoek en de tijdsdruk. Een nepbericht vraagt om snel te betalen of gegevens te bevestigen, vaak binnen enkele uren. Geef je gasten één vaste regel mee die elk nepbericht ontmaskert: jij vraagt nooit via WhatsApp of mail om een betaling.
Hoe herken ik een nep-link in een phishingbericht?
Aan het domein. Een nep-link gebruikt vaak een generiek woord met een reeks cijfers erachter, gemaakt om op een echte boekingslink te lijken. Het domein is meestal maar enkele dagen oud, terwijl een echt hotel zijn website al jaren heeft. Klik nooit op de link. Wil je hem controleren, gebruik dan een scandienst die de link veilig voor je analyseert.
Waarschuwt mijn browser of virusscanner mij voor een phishing-link?
Niet op tijd. Een phishingdomein is vlak voor de aanval geregistreerd. Op het moment dat de gast het bericht ontvangt, is het domein vaak nog zo nieuw dat geen enkele beveiligingsdienst het heeft gemarkeerd. De waarschuwing komt pas dagen later. Daarom moet je het bericht zelf herkennen en niet op een automatische melding vertrouwen.
