Booking.com heeft in een e-mail aan klanten bevestigd dat het bedrijf te maken heeft gehad met een datalek.
Daarbij zijn gevoelige gegevens van boekingen in handen gekomen van onbevoegden, wat volgens het platform risico’s met zich meebrengt voor reizigers. De omvang van het lek is nog onduidelijk, maar vaststaat dat informatie die eerder met accommodaties werd gedeeld, nu mogelijk op straat ligt.
Het gaat voornamelijk om persoonlijke gegevens die gekoppeld zijn aan reserveringen. Namen, adressen, telefoonnummers en e-mailadressen maken deel uit van de buitgemaakte data. Booking.com geeft geen exact aantal getroffen klanten en blijft ook vaag over de volledige reikwijdte van het incident. Wel wordt bevestigd dat informatie die normaal gesproken tussen klant en hotel wordt uitgewisseld, onderdeel is van het lek.
waarschuwingsmail
In de waarschuwingsmail aan klanten benadrukt Booking.com dat gebruikers alert moeten zijn op verdachte communicatie. Het bedrijf schrijft letterlijk dat klanten rekening moeten houden met “verdachte mailtjes, appjes en telefoontjes”. Hoewel er geen aanwijzingen zijn dat zeer gevoelige gegevens zoals creditcardinformatie zijn buitgemaakt, blijft voorzichtigheid geboden. Die gegevens zouden volgens het bedrijf buiten bereik zijn gebleven, in tegenstelling tot eerdere incidenten in de telecomsector waarbij dergelijke informatie wel werd getroffen.
De Autoriteit Persoonsgegevens (AP) is inmiddels op de hoogte gesteld van het datalek bij Booking.com, dat naar buiten kwam via een bericht aan klanten. Volgens de geldende regels zijn bedrijven verplicht om dergelijke incidenten te melden bij de toezichthouder in het land waar zij gevestigd zijn. In dit geval betekent dat dat de situatie onder het vergrootglas ligt van de privacywaakhond, die moet beoordelen of alles volgens de regels is verlopen.
Het grootste gevaar schuilt volgens kenners in gerichte oplichtingspraktijken. Doordat criminelen beschikken over correcte boekingsinformatie, kunnen zij overtuigend overkomen. Denk aan berichten via WhatsApp waarin gevraagd wordt om een extra betaling voor een verblijf, of e-mails die nauwelijks van echt te onderscheiden zijn en zogenaamd afkomstig zijn van Booking.com of het geboekte hotel. De combinatie van juiste namen, reisdata en accommodaties maakt deze vorm van fraude bijzonder geloofwaardig.
Daarnaast bestaat het risico dat boekingen worden gemanipuleerd of zelfs overgenomen. Met bepaalde gegevens, zoals een reserveringsnummer of boekingscode, is het in sommige gevallen mogelijk om wijzigingen door te voeren. In uitzonderlijke situaties zou een reis zelfs geannuleerd kunnen worden door kwaadwillenden. Ook telefonische fraude ligt op de loer. Reizigers kunnen tijdens hun verblijf worden benaderd door iemand die zich voordoet als medewerker en om aanvullende verificatie vraagt. Omdat de beller precies weet waar en wanneer iemand reist, wekt dit snel vertrouwen.
De melding bij de AP vormt een standaardprocedure bij datalekken, maar dat betekent niet dat de zaak daarmee is afgedaan. Integendeel, de toezichthouder kijkt samen met Booking.com naar de oorzaak van het lek en de maatregelen die zijn genomen om verdere schade te beperken. Daarbij wordt onder meer onderzocht hoe de gegevens precies in verkeerde handen konden vallen en of de beveiliging van het platform voldoende op orde was.
Vooral klanten die zonder account een boeking hebben gedaan, lopen extra risico. Zij ontvangen vaak directe links waarmee hun reservering kan worden beheerd. Als deze links of codes in verkeerde handen vallen, kunnen criminelen relatief eenvoudig misbruik maken van de situatie. Daarom is het van groot belang om kritisch te kijken naar de afzender van berichten en niet zomaar op links te klikken.
wachtwoord
Gebruikers met een account wordt geadviseerd hun wachtwoord te wijzigen. Wie gebruikmaakt van tweestapsverificatie heeft al een extra beveiligingslaag, maar ook dan kan een wachtwoordwijziging geen kwaad. Voor iedereen zonder deze extra beveiliging geldt dat het inschakelen ervan sterk wordt aangeraden.
Booking.com benadrukt dat betalingen nooit via WhatsApp, e-mail of telefoon worden gevraagd, maar uitsluitend via de eigen website verlopen. Wie toch twijfelt over een bericht, doet er verstandig aan rechtstreeks contact op te nemen met het bedrijf. De boodschap is duidelijk: wees alert en laat je niet onder druk zetten door ogenschijnlijk betrouwbare verzoeken.
De situatie onderstreept opnieuw hoe kwetsbaar persoonlijke gegevens kunnen zijn, zeker wanneer deze op meerdere plekken worden gedeeld binnen de reisbranche. Klanten doen er goed aan de komende tijd extra waakzaam te blijven, juist omdat oplichters inspelen op actuele gebeurtenissen en bekende namen.
