UNIZO vraagt hotels, logiesuitbaters en reizigers om extra uit te kijken voor phishing-berichten bij hotels. De organisatie krijgt signalen uit de hotelsector over valse betaalverzoeken die via WhatsApp, e-mail of berichtenplatformen bij gasten terechtkomen. Opvallend is dat die berichten vaak echte gegevens bevatten, zoals de naam van de gast, de hotelnaam, de verblijfsdatum of details van de reservatie.
Dat maakt de fraude moeilijker te herkennen. Het gaat niet om slordige berichten met algemene tekst, maar om communicatie die op het eerste gezicht klopt. Voor een reiziger lijkt het dan alsof het bericht echt van het hotel of het boekingsplatform komt. Net daarom waarschuwt UNIZO dat ook Belgische ondernemers hierdoor geraakt worden.
De oproep komt na recente berichtgeving over een datalek dat meer dan honderd Nederlandse hotels zou treffen. Daarbij zouden ook meldingen zijn opgedoken uit België en Ierland. Volgens berichten van onder meer Tweakers, NOS en BNR zijn klant- en reservatiegegevens buitgemaakt en daarna gebruikt om gasten heel gerichte phishingberichten te sturen. Booking.com waarschuwde eerder dit voorjaar al dat onbevoegden in bepaalde gevallen toegang kregen tot boekingsinformatie.
Waarom phishing-berichten bij hotels zo geloofwaardig lijken
Bij phishing-berichten bij hotels spelen criminelen in op vertrouwen. Een gast die net een verblijf heeft geboekt, krijgt plots een bericht met de juiste naam, het juiste hotel en de juiste periode. Daarna volgt de vraag om opnieuw te betalen, kaartgegevens te bevestigen of snel op een link te klikken om de boeking te behouden.
Voor reizigers betekent dat: niet reageren vanuit haast. UNIZO raadt aan om nooit zomaar op een betaallink te klikken die via WhatsApp, sms of e-mail binnenkomt. Zeker niet als het bericht druk zet of zegt dat de reservatie anders verloren gaat.
Wie twijfelt, controleert de boeking best via het officiële account van het boekingsplatform of via de officiële website van het hotel. Gebruik daarbij niet de contactgegevens uit het verdachte bericht zelf. Een verdacht bericht kan doorgestuurd worden naar ve******@*******eb.be. Wie toch betaalgegevens of kaartgegevens heeft gedeeld, neemt meteen contact op met de bank en Card Stop. Bij financieel verlies of identiteitsmisbruik is ook aangifte bij de politie aangewezen.
Wat hotels en logiesuitbaters nu best controleren
UNIZO vraagt hotels en logiesuitbaters om niet te wachten tot er een incident gebeurt. De organisatie adviseert om digitale procedures nu al na te kijken. Dat gaat over beveiliging, maar ook over duidelijke communicatie naar gasten.
Hotels kunnen bijvoorbeeld in bevestigingsmails en op hun website vermelden dat zij nooit via WhatsApp, sms of een losse betaallink om betaalkaartgegevens vragen. Zo weet een gast sneller wanneer een bericht niet klopt.
Ook intern is waakzaamheid nodig. Medewerkers krijgen best duidelijke uitleg over phishingmails die zich voordoen als een reservatievraag, klacht, betaalprobleem of bericht van een softwareleverancier. Volgens Booking.com richten zulke pogingen zich bij partners vaak op het stelen van reserveringsgegevens, persoonlijke informatie of creditcardinformatie.
UNIZO adviseert hotels onder meer om multifactor-authenticatie aan te zetten op accounts van boekingsplatformen, hotelsoftware en mailboxen. Ook de toegang tot reserveringssystemen moet nagekeken worden. Oude of overbodige accounts worden best verwijderd. Bij twijfel over misbruik is een wachtwoordwissel aangewezen.
Daarnaast vraagt UNIZO om verdachte berichten en links te melden via ve******@*******eb.be. Incidenten worden best goed bijgehouden. Als persoonsgegevens betrokken zijn en er risico is voor de betrokken personen, moet een gegevensinbreuk zo snel mogelijk en uiterlijk binnen 72 uur gemeld worden aan de Gegevensbeschermingsautoriteit.
Kleine uitbaters zijn extra kwetsbaar
Voor UNIZO raakt deze fraude aan het vertrouwen tussen ondernemer en klant. Boekingsplatformen, softwareleveranciers en sectororganisaties moeten volgens de ondernemersorganisatie snel en duidelijk communiceren. Getroffen uitbaters hebben nood aan praktische richtlijnen die ze meteen met hun gasten kunnen delen.
Dat geldt zeker voor kleine hotels en zelfstandige logiesuitbaters. Zij krijgen dezelfde digitale dreigingen als grote ketens, maar beschikken niet altijd over dezelfde IT-capaciteit. Daarom ligt de nadruk nu op eenvoudige, zichtbare stappen: accounts beter beveiligen, personeel waarschuwen en gasten vooraf vertellen hoe echte betaalcommunicatie wel en niet verloopt.
Veelgestelde vragen
Hoe herken je phishing-berichten bij hotels?
Let vooral op berichten die vragen om opnieuw te betalen, kaartgegevens te bevestigen of snel op een link te klikken. Ook als naam, hotel en verblijfsdatum kloppen, blijft controle via het officiële kanaal nodig.
Wat doe je met een verdacht bericht?
Klik niet op de link. Controleer de reservatie via het officiële account van het boekingsplatform of via de officiële website van het hotel. Verdachte berichten kunnen doorgestuurd worden naar ve******@*******eb.be.
Wat als je toch kaartgegevens hebt gedeeld?
Neem meteen contact op met de bank en Card Stop. Bij financieel verlies of identiteitsmisbruik is aangifte bij de politie aangewezen.
