Valse betaalverzoeken via Booking.com: wat een hotel kan doen

Wat er aan de hand is

In augustus 2025 waarschuwde het Centrum voor Cybersecurity België (CCB) hotels voor een phishingaanval die vermoedelijk verloopt via Booking.com en via de accounts van hotels en andere logiesverstrekkers (CCB, Safeonweb@work). Gasten krijgen via Booking.com of per e-mail een betaalverzoek met hun naam, hun aankomst- en vertrekdatum en het reservatienummer. Omdat die gegevens kloppen, lijkt het bericht van het hotel te komen.

Het CCB zegt niet hoe de criminelen toegang krijgen tot die accounts. Microsoft beschrijft een campagne die criminelen zo'n toegang kan geven, al legt Microsoft zelf geen verband met de waarschuwing van het CCB (Microsoft Threat Intelligence, 13 maart 2025). Vanaf december 2024, en in februari 2025 nog steeds bezig, richtte die campagne zich op hotelmedewerkers die waarschijnlijk met Booking.com werken, onder meer in Europa. Ze kregen mails over een negatieve review, een vraag van een mogelijke gast, een online promotie of een controle van hun account. Een link, soms in een pdf, leidde naar een valse pagina die vroeg om te bewijzen dat u geen robot bent. Daarvoor moest de medewerker een toetsencombinatie indrukken die het venster Uitvoeren van Windows opent, en daarin een opdracht plakken en starten. Die opdracht haalde schadelijke software binnen die inloggegevens en financiële gegevens steelt; sommige versies laten de crimineel de computer ook op afstand besturen.

Wat Booking.com nooit vraagt

Booking.com schrijft dat het reizigers nooit vraagt om kaartgegevens te delen via e-mail, telefoon, sms of WhatsApp, en nooit om een overschrijving die afwijkt van de betaalvoorwaarden in hun boekingsbevestiging (Booking.com, veiligheidstips voor reizigers). Aan logiespartners schrijft het dat zijn medewerkers niet naar het wachtwoord van uw Booking.com-account of naar kaartnummers zouden vragen, en alleen naar het ID van uw accommodatie (Booking.com, veiligheidstips voor partners).

Zo heeft de receptie een duidelijk antwoord als een gast belt: een vraag om kaartgegevens via een bericht, of om een overschrijving die afwijkt van de boekingsbevestiging, is vals. Lijkt een verzoek te kloppen maar twijfelt de gast, dan belt die het hotel op het nummer uit de bevestiging voordat er iets betaald wordt. Kijk wel eerst na of uw hotel zelf betaallinks verstuurt, bijvoorbeeld voor vooraf betaalde tarieven, zodat het personeel geen echt verzoek ontkent.

Wat het hotel vooraf doet

1. Zet inloggen in twee stappen (tweestapsverificatie) aan op elk hotelaccount, te beginnen met de mailbox, zoals het CCB aanraadt. Booking.com vraagt partners om het ook aan te zetten op hun Booking.com-account.
2. Leg uw personeel uit dat geen enkele echte website vraagt om toetsen in te drukken en iets te plakken om te bewijzen dat u geen robot bent. Wie zo'n pagina ziet, sluit ze en verwittigt de verantwoordelijke.
3. Open berichten over reviews, klachten of problemen met het account in het extranet van Booking.com zelf, niet via een link of bijlage in een mail.

Als een gast belt over een verdacht betaalverzoek

• Vraag de gast om niet te betalen en niet op de link te klikken.
• Overloop met de gast wat er in de boekingsbevestiging over de betaling staat.
• Wijzig vanaf een ander, betrouwbaar toestel de wachtwoorden van de mailbox en het Booking.com-account, meld alle andere sessies af en controleer of inloggen in twee stappen aanstaat. Laat de computer die de mail opende nakijken voordat hij opnieuw gebruikt wordt, want de schadelijke software kan ook nieuwe wachtwoorden onderscheppen.
• Meld het incident meteen bij Booking.com.
• Laat gasten met een lopende reservatie weten dat er valse berichten rondgaan, en geef hen een e-mailadres of telefoonnummer waarop ze u veilig bereiken, zoals het CCB aanraadt.
• Stuur het bericht door naar verdacht@safeonweb.be en meld het incident bij de lokale politie, zoals het CCB aanraadt.
• Heeft de gast al betaald? Raad de gast dan aan om meteen de eigen bank te bellen.

Oefen dit met uw team

Op onze pagina voor hotels ziet u hoe dit past bij de rest van het netwerk en de accounts van een hotel. In een workshop voor een hotel gebruiken we dit voorbeeld om te tonen hoe u de accounts beveiligt en wat de receptie zegt als een gast belt.