De Nederlandse en internationale reisindustrie is de afgelopen periode geconfronteerd met verschillende ernstige datalekken. Zowel hotels, reisplatformen als zakenreisbureaus bleken kwetsbaar voor aanvallen waarbij klantgegevens, reserveringsinformatie en bedrijfsdata werden buitgemaakt. De incidenten tonen een patroon: cybercriminelen richten zich steeds vaker op de reisbranche vanwege de grote hoeveelheid waardevolle persoonsgegevens en de afhankelijkheid van externe software.

De recente datalekken bij Booking.com, ruim 100 Nederlandse hotels en het zakenreisbureau BCD Travel laten zien dat de reisbranche een structureel doelwit is geworden van professionele cybercriminelen — vooral door kwetsbaarheden in externe softwareleveranciers en platforms zoals Salesforce en SharePoint.

Datalek bij BCD Travel: 700.000 records buitgemaakt

Het Utrechtse zakenreisbureau BCD Travel, een van de grootste ter wereld, werd getroffen door een aanval van de hackersgroep ShinyHunters. Belangrijkste feiten:

• Hackers claimden toegang tot interne systemen via Salesforce en SharePoint.
• Er zouden 700.000 Salesforce-records zijn gestolen, plus data van verschillende SharePoint-sites.
• De gestolen dataset (ca. 30 GB) is inmiddels gepubliceerd of te koop aangeboden op het darkweb.
• Het is nog onduidelijk of persoonsgegevens van reizigers of medewerkers zijn buitgemaakt.

BCD Travel heeft geen uitgebreide publieke verklaring afgelegd, maar bevestigde dat de dienstverlening niet is onderbroken en dat maatregelen zijn genomen om herhaling te voorkomen.

2. Datalek bij 100+ Nederlandse hotels

Naast BCD Travel werden zeker honderd Nederlandse hotels slachtoffer van een grootschalig datalek. Wat bekend is:

• Hackers kregen toegang tot reserveringsgegevens en contactinformatie van duizenden gasten.
• De oorzaak ligt vermoedelijk bij een gezamenlijke softwareleverancier, niet bij de hotels zelf.
• Het lek breidt zich uit naar België en Ierland.
• Criminelen gebruiken de gegevens voor gerichte phishing, zoals valse betalingsverzoeken met correcte boekingsdetails.

Dit incident past in een bredere trend: hotels zijn kwetsbaar omdat ze vaak afhankelijk zijn van externe reserveringssystemen die centraal worden aangevallen.

3. Eerdere incidenten in de reisbranche

Volgens de berichtgeving past deze golf van aanvallen in een patroon waarbij verschillende reisorganisaties doelwit zijn geweest:

• Van der Valk
• Sunweb
• Booking.com (eerder slachtoffer van phishing en social engineering)

Hoewel de recente zoekresultaten geen nieuwe hack bij Booking.com zelf melden, wordt het bedrijf regelmatig genoemd als voorbeeld van hoe criminelen boekingsgegevens misbruiken voor phishing.

Waarom de reisbranche zo aantrekkelijk is voor hackers

De reisindustrie verwerkt enorme hoeveelheden gevoelige data:

• Paspoort- en identiteitsgegevens
• Betaalinformatie
• Reisschema’s van zakelijke reizigers
• Contactgegevens van duizenden gasten

Daarnaast is de sector sterk afhankelijk van externe platforms (zoals Salesforce, SharePoint, reserveringssoftware), waardoor één kwetsbaarheid grote gevolgen kan hebben.

De recente datalekken bij Nederlandse hotels, BCD Travel en andere reisorganisaties betekenen dat klantgegevens in verkeerde handen zijn gevallen, vaak door aanvallen op externe softwareleveranciers. Voor reizigers kan dat leiden tot phishing, fraude en misbruik van boekingsinformatie.

Wat voor gegevens zijn gelekt

Afhankelijk van het bedrijf kunnen de volgende gegevens zijn buitgemaakt:

• Naam, e‑mail en telefoonnummer
• Reis- en reserveringsgegevens
• Soms bedrijfsinformatie van zakelijke reizigers

Er zijn geen aanwijzingen dat creditcardgegevens op grote schaal zijn gestolen, maar criminelen kunnen met de overige data al veel schade aanrichten.

Hoe criminelen deze gegevens misbruiken

De meest voorkomende vorm van misbruik is gerichte phishing. Omdat criminelen echte boekingsgegevens hebben, lijken hun berichten heel geloofwaardig.

Voorbeelden:

• “Uw hotelreservering moet opnieuw worden bevestigd, klik hier om te betalen.”
• “Uw vlucht is gewijzigd, log in om uw nieuwe schema te bekijken.”

Deze berichten lijken écht — omdat ze kloppen qua datum, hotelnaam of reserveringsnummer.

Wat betekent dit voor jou als reiziger

Je hoeft niet in paniek te raken, maar het is wél verstandig om alert te zijn:

• Klik nooit zomaar op betaalverzoeken die via e‑mail, WhatsApp of sms binnenkomen.
• Controleer altijd via de officiële website of app van het hotel of reisbureau.
• Let op taalgebruik: criminelen gebruiken vaak haastige of onpersoonlijke formuleringen.
• Gebruik sterke, unieke wachtwoorden voor reisaccounts.

Wat bedrijven nu doen

Bedrijven in de reisbranche nemen maatregelen zoals:

• Extra beveiliging op externe platforms
• Strengere toegangscontrole voor medewerkers
• Monitoring op verdachte inlogpogingen
• Waarschuwingen naar klanten

Maar omdat veel bedrijven dezelfde software gebruiken, kan één lek grote gevolgen hebben.

Waarom juist de reisbranche zo’n doelwit is

Reisorganisaties verwerken enorme hoeveelheden waardevolle data:

• Persoonsgegevens
• Reisschema’s
• Contactinformatie
• Soms paspoortgegevens

Daarnaast werken hotels en reisbureaus vaak met veel verschillende systemen, waardoor één zwakke schakel genoeg is voor een grote hack.