Booking.com waarschuwt voor datalek, boekingsgegevens klanten ingezien

Booking.com is slachtoffer geworden van een datalek, zo maakt het bedrijf bekend. Het online reisbureau laat weten dat 'onbevoegde derden' daarbij mogelijk boekingsgegevens van klanten hebben ingezien. Het is niet bekend om hoeveel klanten het gaat.

Op basis van Bookings eigen onderzoek hebben hackers onder meer de boekingsdetails, namen, e-mailadressen, fysieke adressen en telefoonnummers van klanten ingezien. Dat schrijft het bedrijf in een e-mail aan getroffen klanten, die onder meer op Reddit wordt gedeeld. Ook 'alle overige informatie' die klanten met hun hotel hebben gedeeld, kan zijn gestolen. Om wat voor soort informatie het precies gaat, is niet bekend.

Booking laat weten dat klanten door het datalek het risico lopen e-mails of telefoontjes te krijgen van kwaadwillenden die zich voordoen als het bedrijf of het hotel dat zij hebben gereserveerd. Booking schrijft onder meer dat het nooit vraagt om creditcardgegevens via e-mail, telefoon, sms of WhatsApp en waarschuwt mensen niet zomaar te klikken op links in e-mails die afkomstig lijken van Booking.

Het online reisbureau zegt niets over hoeveel mensen zijn getroffen of wanneer het datalek heeft plaatsgevonden. Booking beantwoordt vragen daarover ook niet, meldt NU.nl op basis van berichtgeving van het ANP.

Bron: Cristina Arias/Cover/Getty Images

Reacties (140)

[nimmolon]

Ik zit er tussen en heb deze e-mail op 24 maart al mogen ontvangen, direct van het hotel waar ik geboekt heb. Dit speelt dus al weer iets langer. Het betreft dezelfde hack aangezien het over dezelfde boeking gaat als waar ze nu over berichten. De gewijzigde pincode(die bij je boeking hoort) is ook meerdere malen verzonden.

Urgent Security Alert: Booking.com Security Incident

Dear Guest,

We have been alerted to a potential security incident on the booking.com platformcurrently targeting customers who have booked their stay via Booking.com.

Unauthorized third parties are attempting to impersonate our hotels to obtain personal and financial information.

[FrankHe]

Criminelen zullen nu inspelen op de actualiteit en berichten versturen in de trant van: "Gezien de gestegen brandstofprijzen zijn we helaas genoodzaakt een naheffing te sturen. Betaal deze direct bij ons of we annuleren uw volledige reis bij Booking.com" Mijn vrees is dat er behoorlijk wat mensen zullen zijn die hier in zullen trappen.

[supersnathan94]

Tsja, Booking heeft dit zelf ook wel in de hand gespeeld door hotels en verhuurders via de chat ook dit soort dingen te laten doen. Ik heb zelf all meermalen via booking chat links gehad vor borg betalingen en andere zaken. ik verifieer dat normaliter altijd met booking zelf, want het zal ook niet de eerste keer zijn dat ze zoiets via de chat doen (sterker nog, precies dat is al vaker fout gegaan).

Booking is hier echt wel nalatig in. Die moeten hier een beter systeem voor verzinnen. Het liefst gewoon in het platform zelf. Booking heeft toch je CC gegevens al. laat hen die borg maar in escrow zetten oid.

[lucatoni]

Volgens mij is dit een iets andere mail als die gisteren is gedeeld, maar heb hem zelf ook in het nederlands ontvangen. Staat er ook iets over je pincode die gereset is?

[nimmolon]

Op 24 maart heb ik van het hotel de gewijzigde Booking.com pincode al ontvangen, dit is dezelfde als Booking.com mij op 10 april nogmaals stuurde. Het hotel had de nieuwe gewijzigde pincode dus al veel eerder.

Op 12 april kwam de generieke mail met nogmaals de pincode.

Hallo,

Bij Booking.com vinden we de veiligheid en gegevensbescherming van onze gasten erg belangrijk. Daarom willen we je laten weten dat onbevoegde derden mogelijk toegang hebben gehad tot bepaalde boekingsgegevens van je reservering.

We hebben onlangs verdachte activiteiten opgemerkt die van invloed zijn op een aantal reserveringen, en we hebben direct actie ondernomen om het probleem aan te pakken. Op basis van de resultaten van ons onderzoek tot nu toe, kunnen de geraadpleegde gegevens bestaan uit boekingsdetails, naam of namen, e-mailadressen, fysieke adressen en telefoonnummers die aan de boeking zijn gekoppeld, en alle overige informatie die je mogelijk met de accommodatie hebt gedeeld.

Om je boeking veilig te houden, hebben we de pincode van je reservering geüpdatet.

Het volgende bericht heb ik dus op 24 maart al ontvangen:

Urgent Security Alert: Booking.com Security Incident

Dear Guest,

We have been alerted to a potential security incident on the booking.com platform currently targeting customers who have booked their stay via Booking.com.

Unauthorized third parties are attempting to impersonate our hotels to obtain personal and financial information.

What You Should Do
1. Do not click on any links contained in messages asking for payment verification.
2. Never share your financial information (credit card numbers, CVV codes, or passwords) via the chat or through external links.
3. Verify your booking: If you receive a suspicious message, please disregard it. Your booking remains valid. If you have any doubts, contact our hotel directly by telephone and check your status via the official "Manage my booking" section on the Booking.com website.
4. Report the incident: via email directly to Booking.com at [e-mail] or [e-mail]

Our Commitment to You
The security of your information is our top priority. We are working closely with Booking.com to monitor the situation and mitigate any further risks.

We thank you for your vigilance and look forward to welcoming you soon.

[dj1981]

Die eerdere e-mail gaat ergens anders over. En die kreeg ik vorig jaar ook al eens.

In dat geval is het booking.com-account van het hotel zelf gehackt. En dan sturen ze iedereen die al geboekt heeft dus een valse e-mail met de vraag of je een aanbetaling wil doen etcetera.

Volgens booking.com kunnen ze daar zelf niks aan doen, want schuld van het hotel enzo. Dat toont maar weer aan wat voor vreemd bedrijf het is

[yatogami28]

Is er enige informatie over gestolen creditcard gegevens?? booking bewaart namelijk ook je creditcard als je dit aangeeft. Ben benieuwd of dit ook in de datalek zit

[bitflusher]

Voor mij was de mail zo onduidelijk dat ik de mail met nieuwe pincode zelf als phishing heb gezien en direct verwijderd. Waar in het verleden de phishing mails zich als urgente legitieme mails voordeden lijkt Booking nu te kijken naar de meest succesvolle vorm van Phishing mails.

[SunnieNL]

Dat hoeft natuurlijk niet hetzelfde te zijn. Het komt vaker voor dat hotels zelf het datalek zijn omdat zij gehacked worden en ze via het gehackte account van het hotel binnen komen. Op dat moment kunnen ze alleen bij de gegevens van dat hotel of die keten. (dat heb ik nu al zo'n 5x meegemaakt). Komt in de meeste gevallen omdat de hotels zelf maar 1 account aanmaken en die delen onder medewerkers, terwijl meerdere accounts aanmaken prima kan.

Dit datalek is zo te lezen groter en raakt meerdere hotels.

[Martinez-]

Deze club heeft ondertussen een mooie verzameling van incidenten verzameld. Leren ze het nu niet, is hun code zo brak, is het eenvoudigweg onkunde of boeit cyberveiligheid hen nu gewoon niet zo?

2016:

Slecht beveiligde server

2019:

Datalek te laat gemeld

2023:

Phishing mails

En nu nog eentje op het blazoen.

[Reactie gewijzigd door Martinez- op 13 april 2026 07:39]

[cricque]

En jij kent toevallig iets van veiligheid en programmeren etc ? Booking.com is nu gewoonweg een heel interessant doelwit. Zelfs een kleine saas app krijgt dagelijks hackpogingen te verwerken


En als iemand je wilt hacken, dan zal je gehacked worden, zo simpel is dat. Het is niet de vraag of, het is alleen de vraag wanneer. En jij mag nog zoveel proberen te doen, het zal echt niet helpen hoor. Dit wil niet zeggen dat je niet je uiterste best moet doen. Maar ze zijn ten minste nog eerlijk. De meeste bedrijven hebben zelfs geen flauw benul dat ze gehacked zijn, dit alleen op het moment dat er een blokkade is of geld geëist word. Kan hier ook het geval zijn, dat weet je uiteraard niet.

[djwice]

En als iemand je wilt hacken, dan zal je gehacked worden, zo simpel is dat. Het is niet de vraag of, het is alleen de vraag wanneer.

Dacht ik vroeger ook, totdat ik iets ontwierp dat bij een financiële instelling met 42 miljoen klanten 7 jaar alle hackpogingen af sloeg, ook zero days. En daarna iets waarmee we te slow-test konden detecteren, dus aanvallen en doelwit konden voorspellen. En daarna een cross-ip tracker van een hacker's machine. We hadden wekelijks meerdere aanvallen.

Maar inderdaad het vereist fundamenteel goed ontwerp en structureel handhaven, geen excepties én een directie organisatie die exact snapt wat het is en de consequenties begrijpt en altijd neemt (geen uitzondering is lastig in een groot bedrijf, politiek, macht etc.), zelfs als dat het ontslaan van de Global CISO betekent als die politieke druk uitoefent tegen (makers van) de oplossing.

Dit is zeldzaam in een bedrijf. Kom je niet veel tegen. Daarom geldt vaak wat jij zegt. Een hacker komt wel binnen als ie het wil. Een babbeltruc (Odido) of van binnenuit (Vattenfall) is vaak het meest effectief.

[Reactie gewijzigd door djwice op 13 april 2026 09:32]

[Bor]

Dacht ik vroeger ook, totdat ik iets ontwierp dat bij een financiële instelling met 42 miljoen klanten 7 jaar alle hackpogingen af sloeg, ook zero days.

En wat zegt dat in relatie tot

Het is niet de vraag of, het is alleen de vraag wanneer.

?

Feitelijk helemaal niets. In het verleden behaalde resultaten bieden ook in dit geval geen enkele garantie voor de toekomst. Daarbij lijk je aan te geven dat "jij wel weet hoe het moet zodat je niet gehacked wordt". Dat is niet alleen niet zo heel bescheiden maar ook niet hoe zo iets werkt natuurlijk. Alles bevat vroeg of laat lekken. Het gaat er om hoe je daar mee omgaat. Zijn er geen lekken in de software te vinden (of niet snel genoeg) dan is er nog de menselijke factor die veelal (ook) te misbruiken is.

[djwice]

Je statement bevat aannames. Als iets niet lek is gaat het zonder verandering ook niet vroeg of laat lekken. Je kunt daar voor ontwerpen, zodat zero days vooraf al gemitigeerd zijn.

En ja, ik weet hoe je dingen echt goed dicht zet met praktijk ervaring. En ook dingen tegen houdt die de tools in de echter bovenhoek van Gartner niet tegenhouden. Daar hoef ik niet bescheiden over te doen. Het is gewoon zo.

Om antwoord te geven wat het te maken heeft met vroeg of laat... is dat er een situatie gecreëerd kan worden waarin dat niet geld. Dus dat het "wanneer" niet van zelfsprekend is.

Uiteraard zijn ook bij mij genoeg dingen niet dicht, maar die omgeving in die context waar ik over spreek wel.

En ja, ik gaf aan dat dit een zeldzame situatie is en net als jij dat een babbeltruc of van binnenuit - jij noemt het menselijke factor - de meest doeltreffende aanvals vectoren zijn.

[Reactie gewijzigd door djwice op 13 april 2026 17:47]

[Bor]

Wat zeg je hier nu uiteindelijk

zodat zero days vooraf al gemitigeerd zijn.

Een zero-day is een zwakke plek die onbekend is bij de ontwikkelaar. Om deze nog geen kans heeft gehad om een patch te maken heeft hij letterlijk nul dagen de tijd gehad om het probleem op te lossen voordat aanvallers er misbruik van kunnen maken. Dat voor jou onbekende lek mitigeer je dus op voorhand, zonder dat je weet wat het lek precies gaat zijn, in welk deel van de software het zit en hoe het misbruikt kan worden?

Een "cross-ip tracker van een hacker's machine"? Je snapt dat dit binnen de cybersecurity en netwerkbeheerwereld geen gedefinieerde term is toch?

[Reactie gewijzigd door Bor op 13 april 2026 21:47]

[djwice]

Wat ik daarmee zeg is dat je exact kunt definiëren wat goed is, zodat een zero day geen kans op exploitatie maakt.

Meerdere zero days die aanvallen waren op tools die ook echt ingebruik waren werkte simpelweg bij al onze concurrenten, maar bij ons waren ze al gemitigeerd by design voordat de zero day gebruikt werd. Die situaties geven veel rust en vreugde. Land in paniek en bij ons drinken we rustig lachend een bakkie. Blij met wat we neergezet hebben en dat het weer liet zien hoe goed die keuze was.

Ja, ik snap dat cybersecurity vendors niet altijd de mensen in dienst hebben die alles tot in detail snappen van het landschap en de ontwikkelingen daarin. En dan creatief een totaal out-of-the-box idee implementeren. Past totaal niet bij het profiel. En dus zelf niet op het idee komen dat je iemand kunt tracken zonder tracking informatie achter te laten op de cliënt, zelfs als een cliënt geen scripts of cookies gebruikt, zelfs als ze van VPN wisselen. En toch kan dat al een paar jaar (sinds ik het bedacht en implementeerde). Ik ben vast niet de enige die het bedacht, dus ga er van uit dat anderen (bijvoorbeeld Google aangezien die hele slimme mensen heeft werken) de techniek ook gebruiken. Sterker nog, als zonder enige aanpassing en update alles veilig blijft kun je lastig inspelen op angst, urgentie etc. de grootste pijler die geld op leverd in de security industrie. Excellent design ate security tools for breakfast.

[Reactie gewijzigd door djwice op 13 april 2026 23:14]

[J_van_Ekris]

En als iemand je wilt hacken, dan zal je gehacked worden, zo simpel is dat. Het is niet de vraag of, het is alleen de vraag wanneer. En jij mag nog zoveel proberen te doen, het zal echt niet helpen hoor. Dit wil niet zeggen dat je niet je uiterste best moet doen. Maar ze zijn ten minste nog eerlijk. De meeste bedrijven hebben zelfs geen flauw benul dat ze gehacked zijn, dit alleen op het moment dat er een blokkade is of geld geëist word. Kan hier ook het geval zijn, dat weet je uiteraard niet.

Ja en nee. Booking.com gaat er ook wel heel laks mee om. Ik was onderdeel van een hack bij hun een paar jaar geleden waarbij via de app phishing berichten werden verstuurd, en ze gaven de individuele hotels de schuld. Maar ik heb tot op de dag vandaag geen waarschuwing zien geven of bijvoorbeeld het gebruik van links via de app aan banden zien leggen. En dan maak je als platform het wel erg makkelijk.

Moet zeggen dat bij bijvoorbeeld Expedia dit soort issues zich niet op deze schaal voordoen.

[sebastienbo]

Amerikaanse bedrijven hebben weinig te verliezen, ze hebben geen strenge gdpr wetgeving waardoor er het lek in niet snel melden. En gezien ze zoveel problemen hebben zouden ze beter hun ICT en apps herorganiseren, dat kan bijvoorbeeld door de nis2 richtlijnen te volgen zoals het cyfun framework. Er zal niet veel mis meer lopen als cyfun gebruikt word om hun cyber security in orde te brengen. Cyfun maakt het echt helemaal gemakkelijk met een simpele excel

[Wolfos]

Met die redenering zouden partijen als Amazon of Google wekelijks een datalek hebben. Booking heeft duidelijk z’n zaken niet op orde.

[erhan12]

Banken?

[Argantonis]

Het is echt de grootste onzin dat als iemand je wil hacken, dat het dan ook wel lukt. Puur hacker-movie mythe. Ja als het doelwit zó interessant is dat men er miljoenen aan wil uitgeven om er zero days op los te laten, ok. Maar dat geldt niet voor het overgrote merendeel van deze hacks, die vaak op z’n minst deels uit social engineering voortkomen, en verder ook gewoon slecht onderhoud en zelf dingen in elkaar zetten die je niet zelf zou moeten doen.

Als iedereen wel te hacken is, waar zijn dan die miljoenenoverschrijvingen bij banken? Waar zijn die hacks van Outlook of Gmail? Alle toegang die daar wordt verkregen zijn allemaal persoonlijke accounts met mensen die de credentials zelf hebben gelekt.

[Calypso]

Een factor die u niet meeneemt: Booking.com is 1 van de grootste partijen in deze, en dus een interessant slachtoffer.

Ik wil daarmee zaken niet goedpraten, maar Booking.com zal nu eenmaal veel meer hackpogingen hebben als "boek-nu-uw-vakantie-in-mijn-woning.nl".

Waar ik me het meest boos over kan maken is de beperkte informatievoorziening (en onwil) van Booking.com - het is compleet onduidelijk wat voor gegevens er buitgemaakt zijn - een huisadres bijv. is in deze erg interessant: je weet dat iemand in die periode niet thuis verblijft.

[Martinez-]

Ze zijn niet voor niets al eens op de vingers getikt. Natuurlijk, het kan gebeuren, maar 4x binnen 10 jaar geeft te denken. Er zijn meerdere grote partijen die veel belangrijke gegevens hebben van particulieren.

Het is een beetje alsof een inbreker inbreekt in het huis in de straat waar net geen inbraakwerende maatregelen zijn genomen, terwijl de rest volhangt met camera's.

[Calypso]

Mijn reactie is niet om aan te geven "het is zo erg niet". Ik wil het alleen in context plaatsen dat ze waarschijnlijk ook wel heel veel pogingen te verduren krijgen, en wanneer 0,000001% van die pogingen succesvol zouden zijn, ze nog steeds flink vaker slachtoffer zouden zijn dan de fictieve site die ik noem en waarvan 0,01% tot een datalek zouden leiden.

Net als dat je meer plofkraken kunt verwachten bij een geldautomaat dan bij mij aan de deur. En ik weet dat je minder makkelijk een geldautomaat op kunt blazen dan mijn simpele voordeur - maar degene die het doet weet ook dat er bij mij veel minder te halen valt dus kiest-ie voor de automaat.

Ik weet absoluut niet hoe deze hack plaatsgevonden heeft, en ik vind het feit dat het plaatsgevonden heeft een probleem en mogelijk nalatigheid voor/van Booking.com, maar het is nu eenmaal een aanlokkelijk doel voor criminelen, en het zou goed zijn voor hun eigen imago om veel opener te zijn over hoe en wat. Ook is in mijn beleving het hele systeem van een online beveiliging met een 4 cijferige anno 2026 achterhaald.

Dus nee, booking.com doet dingen niet goed. Daarover zijn we het eens.

[supersnathan94]

Ook is in mijn beleving het hele systeem van een online beveiliging met een 4 cijferige anno 2026 achterhaald.

Het is ook geen beveiliging maar een shared secret. Alleen partijen die hem horen te weten hebben hem, maakt niet zoveel uit of het dan 4 of 8 cijfer is. Jij moet bij de derde poging met een verkeerde pin al achter de oren gekrabt hebben of het wel valide is.

[batjes]

Waar ik me het meest boos over kan maken is de beperkte informatievoorziening (en onwil) van Booking.com

Dit geeft mij alle motivatie om te denken dat die hacks niet zijn omdat ze het grootste doelwit in hun vakgebied zijn. Maar omdat ze er een puinhoop van maken om de winstmarge zo hoog mogelijk te houden.

[Blizz]

We hebben het over een bedrijf dat etnische zuivering en genocide financieel ondersteunt en lucratief maakt. Zij hebben alles over voor een cent meer winst. Dit is niet een ethisch bedrijf dat de mens voorop stelt, het zal ze worst wezen wat er met klantgegevens gebeurt zolang ze maar voldoende (lijken te) doen om geen te hoge boete te vangen.

[Reactie gewijzigd door Blizz op 13 april 2026 09:16]

[TStick]

Nou nou, nog geen honderd adressen in hun miljoenenbestand die hoogstwaarschijnlijk zonder enige kwade bedoeling in de verhuur zijn gekomen. Typisch gevalletje fophef, want Palestina natuurlijk.

Ik gok dat techliefjes als Apple en Tesla, en vele andere multinationals een enorme factor meer ellende in de wereld berokkenen, maar daar hoor je in verhouding toch maar bar weinig verontwaardiging uit de bekende activistische hoek.

[vbmot]

Klassiek whataboutism. Ja, dat zijn ook geen leuke bedrijven. Nee, dat pleit booking.com niet vrij.

[TStick]

Laat jij je wel van je ethische kant zien door iets te zeggen over Apple, Booking én Tesla?

neen

We zitten in een draadje over Booking.com

Een draadje over een datalek op een tech website, die jij kaapt met je clicktivisme, dus waarom deze rode haring ?

Je versterkt ironisch genoeg het argument.......blah blah blah....dan waren de betrokken partijen al lang van hun platform te verbannen.

De gek trekt de kaart in dit land. Zoals de Amerikanen zo mooi zeggen, de bedrijfwinsten waar we het hier over hebben, dan zijn we inmiddels bij de peanuts aangeland. Goede zaak dat bedrijven waar zoveel mensen werken voor hun bestaan geen krimp geven om dit soort virtue signallers te faciliteren. Dat zouden we maatschappij breed meer moeten doen. Het is autofellatio, niet meer, niet minder. Ik daag je uit het bevredigende gevoel dat je ervaart wanneer je weer eens een clicktivistische post plaats, eens grondig te onderzoeken.

misschien ben je wel heel ethisch..

Ik ben wellicht het best te vergelijken met een klassieke nihilist in de traditie van Bazarov.

[sebastienbo]

Dat is amazon, Microsoft, etc toch ook? Dat is geen excuus om je te beschermen. Het feit dat ze altijd te laat verwittigen bekend dat ze niet beschikken over de crisis management processen zoals in nis2 beschreven is met het cyfun framework. Het is nochtans poepsimpel om cyfun af te toetsen in je bedrijf.

[Henk1827]

Wat zeker niet helpt is dat hun code volledig in Perl was geschreven. Ze zijn nog steeds bezig met migreren.

[SubSoNick]

Er speelt al jaren een probleem waarbij de "reseller" accounts van hotels worden gehacked. Het is dan mogelijk via de Booking app berichten te sturen naar iemand die net een hotel heeft geboekt. Ze vragen dan direct te betalen om je kamer niet te verliezen. Dit is mij ook overkomen en Booking bleek al jaren op de hoogte van dit probleem.

Kennelijk doen ze er niets aan om deze accounts beter te beveiligen zodat dit niet meer kan gebeuren.

[Gromborg]

Een jaar of 10 geleden zijn mijn creditcardgegevens gelekt via Booking. Mijn bank adviseerde me om Booking alleen te gebruiken om een hotel te zoeken, maar nooit meer via hun te reserveren. Het probleem kwam blijkbaar vaker voor.

Ik houd me sindsdien aan dit advies en alle publiciteit rond dit bedrijf sindsdien heeft bewezen dat het een goed advies was.

[bb1969]

Kreeg deze zaterdag al via whatsapp, deels geanonimiseerd, maar hiervoor moeten ze toegang hebben omdat boekingsnummer / data / naam

Hello, Ben …..!

My name is Linda.

I am the administrator of ……….. Central Hotel & Spa.

My assistant tried to contact you today regarding your reservation from 7/12/2026 to 7/15/2026.

During a recent automatic security check, our payment system was unable to verify your card details.

As part of Hotels new policy to improve booking security, some guests are now required to confirm that they are the cardholder and that their booking is legitimate.

Please complete a short verification process to prevent your booking from being canceled.

- knip -

That's why I'm reaching out to you personally to quickly and easily resolve this issue.

Please take this seriously and do so within the next 12 hours, otherwise your reservation may be canceled and your dates will be available for booking by other guests.

[Reactie gewijzigd door Bor op 13 april 2026 12:03]

[Martymarty]

En dit was echt aan de hand van een bestaande reservering die je had?
GEEEEEZ. Dit is wel een dunne..

[bb1969]

Voor mij geen probleem, wil alleen maar aangeven dat ze naam, de boekingsgegevens, het reserveringsnummer, data boeking tot beschikking hebben om berichten te kunnen sturen.

[Insidio2]

Een collega toonde met net hetzelfde bericht met datum 6/02/2026, dit kreeg hij kort na een boeking op booking.com via whatsapp van een Indisch nummer.

Hij heeft dit gemeld aan booking, maar hier is nooit reactie op gekomen.

Best wel jammer, oplettende gebruikers melden problemen, maar er wordt niet naar gekeken.

[bb1969]

Helemaal mee eens. Ondanks mijn melding heb ik geen enkele reactie van Booking.com ontvangen. Hiermee handelen ze in strijd met hun eigen voorwaarden, waarin staat dat er binnen 24 uur gereageerd wordt.

[Usul_Atreides]

Dat is een interessant bericht.

Kreeg vorige week ook een gelijksoortig bericht dan voor mijn reservering bij Urban.
Toen stelde Urban zelf (bij nabellen) dat een medewerker van Urban in een phising was getrapt, maar gezien jouw bericht en het probleem bij Booking begin ik nu toch wel te vermoeden dat het niet zozeer bij Urban lag maar gewoon bij Booking.

[daanb14]

Hier inmiddels exact hetzelfde bericht binnen vanuit een Venezolaans nummer. Booking mag hier wel zijn klanten gaan informeren dat er al actief mee gephished wordt. Het is dat ik het op tijd zag bij mijn ouders, maar genoeg mensen gaan hier in trappen als het zo gericht is.

[Reactie gewijzigd door daanb14 op 15 april 2026 23:05]

[FrostyPeet]

Gaan we weer.

Sorry voor het ongemak. U, de gewaardeerde klant mag het zelf verder uitzoeken. We hebben het nu te druk met damage control en het voorkomen van (massa)claims dus wij vertellen zo min als mogelijk.

[laurensl]

Lijkt me een flink risico op inbraak als ze weten dat je in de toekomst een boeking hebt en dus niet thuis bent

[Roko]

Dat zal wel meevallen denk ik. De eerste inbraak-golf naar aanleiding van een eerdere hack moet nog wereldkundig worden.

[Arthur Tromp]

Dat het niet wereldkundig gemaakt is wil natuurlijk niet zeggen dat het nog niet gebeurd is.

[DonJunior]

Dat is wel heel naief. Jouw logica is "omdat het nog niet eerder is gebeurd, zal het wel meevallen"
Nu van velen de vertrek- en retour data op straat liggen, inclusief adresgegevens is de kans wel erg groot op inbraak want het word inbrekers wel erg makeklijk gemaakt zo.

Ze krijgen letterlijk een lijst aangereitk met : "@Roko is vanaf 16 juli, 14 dagen op vakantie naar de Bahama's en woont in straat Y op nummer 5"

[Bas-w]

Áls de gegevens op straat komen te liggen. De kans is naar mijn idee groter dat de hackers de informatie zelf misbruiken voor phising, of verkopen aan een groep die aan phising doet. Ik denk dat de kans klein is dat een inbreker goud geld betaalt voor zo'n lijst met gegevens. Na een aantal maanden is zo'n lijst voor inbrekers ook nutteloos geworden omdat het gros van de hotelovernachtingen dan voorbij zijn.

[FrankHe]

Waarom zou je je zolderkamer verlaten om daadwerkelijk in een huis in te breken wanneer je middels geconstrueerde dreigberichten over naheffingen voor de geboekte reis, vlucht of accommodatie zonder moeite honderden euro's binnen kunt halen?

[thetakman]

Niet... maar waarom zou je niet ook voor een paar honderd euro de data waarop een huis leeg is doorgeven aan wat straat schoffies ?

[CivLord]

Straatschoffies zie ik niet zo snel gebeuren.

Het zou wel een goudmijn kunnen zijn voor beveiligingsbureaus.
Die benaderen de toekomstige vakantiegangers en zeggen dat de gegevens van de vakantiereis open en bloot op het darkweb beschikbaar zijn en bieden hun diensten aan om het huis te beveiligen.
Wanneer ze wachten tot een paar weken vóór de reis en zeggen dat ze binnen een paar dagen een monteur langs kunnen sturen om een installatie aan te leggen, heb je grote kans dat ze dat aanbod aangrijpen, in plaats van zelf rustig de tijd nemen om na te denken of beveiliging wel nodig is en eventueel zelf te kijken wat de beste beveiliging is en wie dat kan installeren.
Eigenlijk legale afpersing.

[thetakman]

Was ook meer retorisch.

Wat ik probeerde te zeggen was, de data is er al, en dit is enkel domweg export in een excel, sorteren op straat naam + plaats of iets en klaar.

Het is te makkelijk om dit niet door te verkopen want het is dan gratis geld (hacker doet er niks mee, en genoeg andere geintresseerden die dit wel willen gebruiken)

[dasiro]

mensen die een reis van 10.000€ geboekt hebben, zullen misschien nog wel wat waardevols in huis hebben. En het is niet omdat jij die mensen al hebt afgeperst dat je je lijstje niet meer kan verkopen aan andere criminelen: jij het geld, zij de goederen, klinkt als een win-win

[MazeWing]

Het inbrekersgilde zal dit datalek dan ook aandachtig bekijken en op die manier hun inbraken plannen.
Waarom nog moeilijk doen met observeren, takje tussen de deur en op andere manieren testen of de bewoners thuis zijn....

[CivLord]

Dat vergt een iets betere/ grotere organisatie dan de meeste inbrekers hebben.

Dit is een flink aantal stappen verwijderd van op de facebook pagina van iemand uit een bepaalde wijk zien dat ze op vakantie zijn en dan inbreken. De inbrekers zijn niet de hackers, dus hoe komen die gegevens bij de uiteindelijke inbrekers terecht?

Maar wanneer dit soort hacks vaker plaats gaan vinden, bij meerdere reisbureau's, dan zie ik nog wel een site op het darkweb verschijnen waar adressen en vakantieperiodes worden aangeboden per wijk, waar potentiële inbrekers tegen betaling 'werkadressen' kunnen kopen.
En meteen de volgende stap! Beveiligingsbureaus, die dezelfde informatie gebruiken om de toekomstige vakantieganger te benaderen dat de gegevens op internet staan en dat ze maar beter hun huis kunnen laten beveiligen.

[BezurK]

...en waarschuwt mensen niet zomaar te klikken op links in e-mails die afkomstig lijken van Booking.

Dit lijkt me vandaag de dag sowieso een gedegen advies naar mensen die minder digitaal onderlegd zijn. Nooit actie ondernemen via een link in een bericht. Altijd inloggen bij de dienst/organisatie zelf en daar verder handelen.

[Reactie gewijzigd door BezurK op 13 april 2026 07:33]

[J_van_Ekris]

Dit lijkt me vandaag de dag sowieso een gedegen advies naar mensen die minder digitaal onderlegd zijn. Nooit actie ondernemen via een link in een bericht. Altijd inloggen bij de dienst/organisatie zelf en daar verder handelen.

Bij Booking.com was dat in het verleden geen enkele garantie. De hackers waren nog binnen en stuurden binnen de app hun phishing verzoeken.

[tedades]

Heb ook gezien dat ze via het officiële whatsapp account van het hotel een bericht verstuurde, vergelijkbaar met het bericht dat bb1969 plaatste. Dat ze een reservering deden voor het bedrag van de boeking op je creditcard om te checken of je wel kon betalen. Als je dit niet zou doen zou je reservering verlopen, natuurlijk had je maar maximaal 12 uur de tijd hiervoor.

Aangezien je al eerder contact kan hebben gehad via dat account moet je toch al alert zijn om niet op de bevestiging link te klikken. Daarnaast wisten ze je naam, de boeking en het bedrag van de boeking. Dus dat is voor de leek toch al lastig van echt te onderscheiden.

[BezurK]

Ja, als ze inderdaad alle gegevens van een daadwerkelijk actieve boeking hebben, dan is de oplichting zo gedaan en moeilijk te spotten als consument. Ik begrijp volkomen dat men daarin trapt.

En dat is dus ook waarom Booking.com keer op keer een interessant doelwit blijkt: het is gewoon enorm lucratief.

[pcxs]

Als je niet snapt dat ze dit soort dingen nooit via whatsapp doen verdien je eigenlijk ook niet beter.
Zeker niet als er ook nog bijstond om te kijken of je het wel kon betalen dan moet je er gewoon mee lachen en de prullenbak er mee in.

[CivLord]

Er zijn tal van hotels die dat standaard wel via WhatsApp doen.

Dat is het probleem juist. Iedereen doet het anders.
Ik krijg nog steeds legitieme emails van bedrijven en instanties met links om iets op hun site te raadplegen of te regelen.

Het meest recente voorbeeld daarvan is een email van mijn gemeente met een afspraakbevestiging. Ook daar zat een link in om de afspraak te wijzigen of te annuleren.
Dat lijkt op zich onschuldig, de echte link gaat naar het afsprakensysteem waar je de afspraak kan wijzigen of afzeggen. Een kwaadwillende kan zo'n mail sturen met een link naar een pagina die lijkt op die van de gemeente, maar die ter bevestiging ook nog naar BSN en NAW-gegevens vraagt.

Dat helpt niet om mensen aan te leren nooit op links in emails te klikken.

Wat ook niet helpt is victim blaiming. Dan hoop ik alleen maar dat jij nog eens een keer in een goede val loopt.

[pcxs]

Maar als je enkel met je muis over de link gaat zie je gewoon al dat ie ergens anders heengaat bv .pl.ru etc en niet naar je gemeente.
Dan ook nog je Bsn en NAW gegevens vraagt de gemeente heeft die al dus vragen ze daar ook niet om.

Toevallig net weer een mail gezien van Ziggo uw account word opgeschort 1 heb geen Ziggo 2 de url geeft al meteen rode vlaggen maar velen klikken gewoon en lezen niet

[url="mailto:test"][e-mail][/url]

Dat komt toch echt niet van Ziggo af

[Reactie gewijzigd door pcxs op 14 april 2026 17:28]

[CivLord]

Op een telefoon is het al wat lastiger. Daar kan je niet hooveren over de link. En je ziet niet altijd het volledige adres van de afzender.

Ik kreeg onlangs een duidelijk neppe fishing mail, waarvan de afzender iets was als:
[e-mail]

Wanneer je niet helemaal thuis bent is hoe een domeinnaam is opgebouwd en het je wel ongeveer bekend voorkomt om reeks cijfers en letters achter de domeinnaam in een browser te zien staan, hoef je helemaal niet door te hebben dat het nep is.

Op de site die zogenaamd van de gemeente is, kunnen ze schrijven dat ze BSN en NAW vragen om te controleren wie je bent.
Het is niet nodig dat iedere ontvanger er in trapt. 1% van 10.000 mails is nog steeds een redelijke score.

[alexbl69]

Vertel dat ook even aan mijn ouders...

Mijn overtuigingskracht schiet in ieder geval tekort

[ASS-Ware]

[...]

Dit lijkt me vandaag de dag sowieso een gedegen advies naar mensen die minder digitaal onderlegd zijn. Nooit actie ondernemen via een link in een bericht. Altijd inloggen bij de dienst/organisatie zelf en daar verder handelen.

Daar zouden banken ook eens over na moeten denken.
Rabo en ABN Amro, bijvoorbeeld, zetten geregeld links in hun emails.
Ze kunnen beter tegen klanten zeggen: Wij sturen nooit links, zie onze website, of stuur het adres van een pagina zonder er een link van te maken.

[Pasteis]

De hacks van de laatste tijd moeten bedrijven toch maar eens aan het denken zetten over hoe ze de integriteit van hun communicatie beter kunnen waarborgen. Of je nu gehackt bent of niet, kwaadwillenden kunnen zich altijd voordoen als een bedrijf om slechte bedoelingen te hebben. Het wordt alleen door een hack stuk makkelijker om geloofwaardige communicatie te hebben.

Voorlichten is een ding, maar waarom gaat er niet meer gewerkt worden met de manier waarop we in de browser ook certificaten gebruiken? Om bijv. een e-mail te bevestigen dat het ook daadwerkelijk van het juiste domein afkomt waar het zou moeten komen? En daarmee ook beter gekeken kan worden naar spam mail.

Ik heb zelf overigens direct 2fa aangezet.

[kujinshi]

Het is nu ongeveer elke dag dat er wel weer een bedrijf een datalek heeft. De integriteit van de gegevens is heel ver te zoeken tegenwoordig. Voor zovele mensen is het een loterij wanneer je aan de beurt bent dat criminelen jou gaan targetten.

[Pasteis]

Het is nu ongeveer elke dag dat er wel weer een bedrijf een datalek heeft. De integriteit van de gegevens is heel ver te zoeken tegenwoordig. Voor zovele mensen is het een loterij wanneer je aan de beurt bent dat criminelen jou gaan targetten.

Ik stoor me vooral aan de manier waarop bedrijven omgaan met data vaak in het kader van gemak. Want ze willen het gebruiken voor allerlei analyses en als je barrières gaat opwerpen voor toegang tot deze data, dan kost dat meer geld.

[J_van_Ekris]

Je beseft dat in het verleden phising attacks plaats vonden in de Booking.com app, binnen de gemaakte boeking? Zelfs dat soort beveiligde kanalen stellen niets voor als je bij de hotels zelf niets afdwingt aan security.

[Pasteis]

Je beseft dat in het verleden phising attacks plaats vonden in de Booking.com app, binnen de gemaakte boeking? Zelfs dat soort beveiligde kanalen stellen niets voor als je bij de hotels zelf niets afdwingt aan security.

Je bedoelt dat het account van het hotel zelf was gehackt waarmee gecommuniceerd werd naar de boeker?

Verder terecht punt. Ik heb bijvoorbeeld nog nooit een reservering i.c.m. pin hoeven te delen. Terwijl ik toch maandelijks Booking gebruik.

[GewoonWatSpulle]

Ach dit is dezelfde booking.com die spook boekingen niet uit een account haalt of onderzoek doet naar de oorzaak. Ik heb boeking van een mevrouw Bloemen in Italië in mijn account en ook een van een meneer Hermans. Dan is ook lekken van data maar niet belangrijk genoeg.

[Martinez-]

Heb je een melding bij de AP gemaakt? Lijkt me aardig van belang om hier ook actie op uit te zetten.

[bzuidgeest]

Het ap heeft niet de mankracht, tijd of geld om achter dat soort kleine dingen aan te gaan.

[Martinez-]

Ze pakken niet elke melding op, maar kunnen mogelijkerwijs wel op basis van meldingen patronen in zicht krijgen die anders nooit het licht zullen zien.

[GewoonWatSpulle]

Voor 2 spook boekingen kan je nergens terecht helaas.

[CivLord]

Voor twee spookboekingen loopt inderdaad niemand warm.

Duizend personen die twee spookboekingen hebben wordt al interessanter. Dat duidt op een probleem.

Wanneer maar genoeg mensen dit soort problemen melden, wordt het vanzelf groot genoeg om te onderzoeken.

[adje123]

Booking en Thuisbezorgd waren voor mij de ideale websites om hotels of restaurants op te zoeken en rechtstreeks bij de hoteleigenaar te boeken of rechtstreeks bij een restaurant te bestellen. Ik weet niet of dit nog steeds zo kan zonder account.

[Lifelogger]

Dat kan zeker! Doe het nog steeds. :-)

Ik vind Booking.com erg handig om iets te vinden. Als ik dan iets gevonden heb, zoek ik het online op boek dan rechtstreeks. Is vaak ook nog goedkoper.

[kujinshi]

Kijk gewoon op Google Maps waar je heen wilt, alle hotels staan daar ook.

Wat ik doe is dan inderdaad bij de hotel site zelf boeken, of zelfs gewoon telefonisch reserveren. Meestal hoef je dan niks te betalen vooraf. Ze sturen een bestigingsmail en je hebt je boekingsbewijs.


Al die grote boekings sites zoals Booking.com zit vol ellende qua hacking, phishing, scamming.

[Calypso]

Dit jaar ook weer geprobeerd: het viel vies tegen. Wanneer de prijs hetzelfde was rechtstreeks ging het rechtstreeks, maar het is ook meermalen zo dat de prijs dan toch hoger was.

[Cid Highwind]

Het is een beetje 50/25/25. De helft van de tijd is het om het even, maar die je het onderkomen er een plezier mee. Meer marge voor hen, wat de prijzen in t algemeen ten goede komt. Een kwart van de tijd is er via Booking een goede aanbieding te scoren, maar dan wel met de nodige voorwaarden. En een kwart van de tijd is de eigen site of goedkoper, of krijg je daar bijvoorbeeld voor dezelfde prijs wel wat perks als meer flexibiliteit of ontbijt.

Het is de moeite waard het na te kijken, want 75% van de tijd boek ik nu dus weldegelijk elders om de macht van Booking wat te beperken.

[JeroenV_]

Van het weekend toevallig 2 boekingen gedaan. De eerste was zowel op booking als op de eigen site net zo duur, dus die gewoon rechtstreeks geboekt op de eigen site.
Bij de 2e was de eigen hotelsite aanmerkelijk duurder maar kon ik korting krijgen, en daarmee dezelfde prijs als booking, als ik een account aanmaakte bij het hotel. Die dus maar wel via Booking geboekt om zo niet weer een account ergens te hebben.

[vbmot]

Even bellen of een berichtje sturen naar het hotel werkt vaak ook.

[Koja78]

Als ze je thuisadres kennen... en de datums dat je op reis bent... lijkt me ook gewoon een real life fysiek inbraakrisico.

[123barracuda]

Daarom heb ik een niet bestaand adres in Nederland opgegeven, terwijl ik in Spanje woon. Daarbij heb ik een emailadres als [e-mail]. Die ik alleen gebruik, als ik geboekt heb, na overnachting weer delete. Ook de laatste tijd gevraagde informatie, check online bij het hotel, om sneller door het procces te gaan bij de balie, reageer ik nooit op. Is ook zelfs niet nodig. Ook de " hoe vond u dit hotel" komen bij mij niet meer aan, omdat ik het emailadres direct weer delete. Ze hebben dus wel wat gegevens van mij, maar kunnen er niet zoveel mee. Oja, heb ook nog een Nederlands gsm nummer, maar die gebruik ik alleen in Nederland, dus als daar iets vreemds op gebeurd, is dat voor mij geen probleem. En, whatsapp heb ik op die telefoon niet.

Je kunt er zoveel zelf aan doen....om eventueel leed te voorkomen...

[Ootje70]

Dus dan is jouw e-mailadres niet meer te gebruiken maar wat denk je dan van al jouw andere gegevens die bij een bo(o)eking worden verwerkt? Ze hebben dus je naam, adres, bankrekeningnummer....

[123barracuda]

Nee dat is niet zo. Ok mijn naam, voorletter +achternaam.

Adres bestaat niet, hoeft ook niet, want ze sturen geen factuur. Dus ik P. Puk, en woon in de Hoofdstraat 23415 in Sweetlakecity. Mijn bankrekening hebben ze niet, ik betaal altijd bij het hotel, cash.

En mijn emailadres wordt alleen pas weer actief, als ik een boeking doet, dus op dit moment "bestaat" het emailadres niet.

Zo heb ik, zoals meerdere tweakers hier, alleen maar aliassen die ik terug kan herleiden. Dus bv [e-mail] enz. Mijn eigen hoofd emailadres heeft niemand, alles wordt geforward naar dat adres. Ook ieder familielid heeft een ander emailadres. Ppuk0001@, ppuk0002@

Zo hou je alles op orde. En ja, @SaraNostra het in begin wat werk, maar je ziet het, in korte tijd Odido, Basicfit, Booking, Hallmark.... En oja, als ik bijvoorbeeld klant was bij Hallmark, en ik zou kaarten bestellen, waarom altijd je echte naam gebruiken? Je kunt zelf een hoop doen om ze het moeilijker te maken. Als je Janssen heet, komt het pakje ook wel aan als je Klaasen heet.....

En nee, heb zeker geen alu hoedje op ofzo, maar je kunt meer doen, door net iets anders in te vullen. Bij Bol heet ik dan Janssen, bij Hallmark klaassen, maar eigelijk heet ik P.Puk..... Het is masr een idee...

Nog een tip: laat zoveel mogelijk versturen naar een afhaalpunt, hoef je je eigen adres niet perse naar waarheid in te vullen....

[Ootje70]

Goede tips, ik zal ook eens wat meer van dit soort praktijken gaan toepassen, gebruik ook mijn geen herleidbare emailadressen niet maar betaal wel alles wat zakelijk is via creditkaart met bedrijfsnaam etc. op de factuur, daar kan ik niet echt aan ontkomen. Privé kunnen hackers weinig met mijn gegevens net als bij jou.

[SaraNostra]

Maar kijk eens ook hoeveel moeite en werk het kost. Dat is het stomme ervan. Voor de rest: kudos.

[Koja78]

Hotel in porto wou onlangs in booking msg dat ik specifiek via een andere link betaalde. Blijkbaar de juiste reflex om dat niet te doen. Dan maar rechtstreeks op hotel website geboekt.