Booking.com phishing: de EU onderzoekt, bescherm gasten

Een gast schrijft u ongerust: hij kreeg „van u” een bericht met het verzoek zijn creditcard binnen 24 uur te bevestigen, anders zou zijn boeking worden geannuleerd. U hebt niets gestuurd. Dit scenario kennen veel hosts op Booking.com, en het staat nu centraal in een Europees onderzoek. Op 21 oktober 2026 opende de Europese Commissie een formele procedure tegen Booking.com op grond van de digitaledienstenverordening (Digital Services Act, DSA), onder meer over phishing die boekingsgegevens misbruikt. Hieronder leest u wat er wordt onderzocht, wat het voor u verandert en welke gewoonten uw account en uw gasten vanaf nu beschermen.

Dit artikel steunt op de officiële bronnen die we hiervoor hebben gelezen: het persbericht van de Europese Commissie van 21 oktober 2026, de hulppagina's voor partners van Booking.com over phishing en e-mailspoofing, over ongeautoriseerd gebruik van een account en over het beveiligen van uw account, de veiligheidspagina voor gasten van Booking.com, de fiche over phishing van Cybermalveillance.gouv.fr (de Franse overheidsdienst voor hulp bij cyberincidenten), de analyse op de Microsoft Security Blog van 13 maart 2025 en de hulppagina van Airbnb over betalingen buiten het platform. Citaten uit Engelse en Franse bronnen zijn eigen vertalingen.

Laatste controle van de bronnen: 31 oktober 2026. Dit is geen persoonlijk juridisch of beveiligingsadvies: controleer het voor uw situatie en bij de partnerservice van Booking.com.

Wat verwijt de Europese Commissie Booking.com?

De Commissie gaat na of Booking.com de risico's van nepadvertenties en phishing goed heeft beoordeeld en beperkt, en of advertenties die tegen betaling beter zichtbaar zijn duidelijk als reclame worden aangeduid. Booking.com is sinds 25 april 2023 aangewezen als „zeer groot onlineplatform” en valt daarmee onder de zwaarste verplichtingen van de DSA. Het onderzoek gaat over drie punten:

1. Frauduleuze en niet-conforme advertenties: niet-bestaande accommodaties, identiteitsfraude, niet-conforme accommodaties. De Commissie gaat na of het platform deze risico's voor consumenten heeft vastgesteld en beoordeeld.
2. Phishing met boekings- en gastgegevens: de Commissie onderzoekt hoe gegevens met accommodaties worden gedeeld, hoe het berichtensysteem van Booking.com is opgezet en welke waarborgen moeten voorkomen dat deze gegevens worden misbruikt om frauduleuze betalingen te vragen.
3. „Gebooste” advertenties: accommodaties kunnen meer zichtbaarheid krijgen tegen een hogere commissie. Gebruikers moeten kunnen herkennen dat het om reclame gaat, wie ervoor heeft betaald en waarom ze wordt getoond.

Als deze tekortkomingen worden bewezen, zouden ze inbreuken vormen op de artikelen 34 en 35 van de DSA (beoordeling en beperking van systeemrisico's) en op artikel 26, lid 1 (herkenbaarheid van reclame).

Foto: EmDee, Wikimedia Commons, licentie CC BY-SA 4.0; afbeelding omgezet naar WebP en verkleind.

Hoe ver is de procedure, en wat kan er gebeuren?

Het onderzoek is net geopend: er is geen sanctie opgelegd en de uitkomst ligt niet vast. Het persbericht benadrukt dat de opening van een formele procedure „niet vooruitloopt” op de uitkomst van het onderzoek. De Commissie kondigt een grondig onderzoek met voorrang aan, met nieuwe verzoeken om informatie, gesprekken of inspecties. Daarna kan ze voorlopige maatregelen nemen, een besluit tot niet-naleving vaststellen of toezeggingen van Booking.com aanvaarden.

De procedure volgt op een vooronderzoek: de Commissie analyseerde de risicobeoordelingsrapporten van Booking.com en de antwoorden van het bedrijf op twee verzoeken om informatie, verstuurd op 23 september 2025 en 26 mei 2026. Ze werkt samen met de Autoriteit Consument & Markt, omdat Booking.com in Nederland is gevestigd. Het persbericht noemt geen tijdschema.

Wat verandert er voor u als host op Booking.com?

Voorlopig niets verplichts: er geldt geen nieuwe regel voor accommodaties. Maar het onderzoek richt zich precies op de keten waar u deel van uitmaakt: uw extranetaccount bevat namen, contactgegevens en soms betaalgegevens van uw gasten. Booking.com zegt het zelf: uw account bevat „waardevolle informatie waar fraudeurs het op gemunt kunnen hebben”. Wie binnenkomt, kan uw gasten schrijven vanuit uw eigen berichtenreeks, met uw naam en de echte data van hun verblijf. Voor de gast is het valse bericht dan niet van een echt bericht te onderscheiden.

Leidt het onderzoek tot maatregelen, dan kunnen die het berichtensysteem, het delen van gegevens of de weergave van gebooste advertenties raken. Dat zijn veronderstellingen: er is niets beslist. Intussen ligt de beste bescherming in uw eigen handen. Om Booking.com op commissies en regels te vergelijken met andere platforms, leest u onze vergelijking van Airbnb, Booking en Abritel.

Hoe vallen oplichters hosts aan?

Meestal met een e-mail die Booking.com nabootst en aanzet tot snel handelen. Booking.com noemt de klassieke signalen: een dringende toon (dreiging met blokkering van het account, betalingsprobleem), spelfouten, gemengde talen en links die niet naar een adres eindigend op „.booking.com” leiden. Het platform verklaart dat het u nooit om een dringende actie vraagt zonder voorafgaande mededeling.

Sommige lokmiddelen zijn zeer uitgekiend. In maart 2025 beschreef Microsoft Threat Intelligence een campagne die sinds december 2024 liep, toegeschreven aan de groep Storm-1865, gericht op hotelpersoneel dat met Booking.com werkt. De e-mails gingen over een zogenaamde negatieve review, een vraag van een toekomstige gast of een accountverificatie. De link leidde naar een valse verificatiepagina in CAPTCHA-stijl die vroeg het Windows-venster „Uitvoeren” te openen en er een opdracht in te plakken. Deze techniek, ClickFix genoemd, installeerde software die inloggegevens en financiële gegevens steelt.

Onthoud: geen enkele echte verificatie vraagt u een opdracht in Windows te plakken. En een e-mail over een negatieve review vraagt nooit om een bijlage te openen of via een link in te loggen; een echte review behandelt u via het extranet, zoals uitgelegd in onze gids over reageren op negatieve reviews op Airbnb en Booking.

Hoe weet u of uw extranetaccount is gehackt?

De signalen die Booking.com noemt, zijn concreet:

• gasten melden berichten of telefoontjes met betalingsverzoeken die niet van u komen;
• wijzigingen die u niet hebt gedaan: contactgegevens, prijzen, beschikbaarheid, inhoud van de advertentie of channel manager;
• een e-mail over een „nieuwe aanmelding” die u niet herkent;
• nieuwe telefoonnummers voor tweestapsverificatie of nieuwe gebruikers bij uw accommodatie.

Eén enkel signaal is genoeg om meteen te handelen. Booking.com geeft ook aan dat het, bij verdachte activiteit op uw account, de linkfunctie in de berichten die u aan gasten stuurt onmiddellijk uitschakelt, om te voorkomen dat er frauduleuze betaallinks worden verstuurd. Gaan uw links niet meer door, omzeil de blokkade dan niet: controleer uw account.

Welke gewoonten voert u vandaag in?

Zes gewoonten dekken het belangrijkste, allemaal ontleend aan de pagina's van Booking.com en Cybermalveillance.gouv.fr:

1. Via de juiste deur binnenkomen. Typ zelf https://admin.booking.com/ in de browser en sla de pagina op als bladwijzer. Log nooit in via een link uit een e-mail of sms.
2. De beste tweestapsverificatie kiezen. Die is verplicht op het extranet. Booking.com raadt een tijdgebonden code uit een app (TOTP) aan, zoals de verificatiecode in de Pulse-app, in plaats van sms, die makkelijker te onderscheppen is.
3. Ook uw mailbox beschermen. Wie uw e-mails leest, kan uw wachtwoord van Booking.com resetten. Zet tweestapsverificatie aan op uw mailbox.
4. Een lang en uniek wachtwoord. Volgens Booking.com minstens tien tekens met hoofdletters, kleine letters, cijfers en speciale tekens, zonder naam of geboortedatum, en nergens anders gebruikt.
5. Eén account per persoon. Bij een beheerbedrijf maakt u voor elk teamlid een eigen extranetaccount aan in plaats van een wachtwoord te delen, en controleert u regelmatig de gebruikers en de telefoonnummers voor tweestapsverificatie.
6. Op het berichtensysteem van het platform blijven. Booking.com raadt aan WhatsApp en andere externe kanalen te vermijden in contact met gasten. Houd ook uw apparaten up-to-date, met een actieve virusscanner.

Hetzelfde principe geldt voor de rest van uw accommodatie: een slecht beveiligd netwerk brengt ook uw gasten in gevaar, zoals we uitleggen in ons artikel over wifi-beveiliging bij vakantieverhuur.

Foto: Santeri Viinamäki, Wikimedia Commons, licentie CC BY-SA 4.0; afbeelding omgezet naar WebP en verkleind.

Hoe waarschuwt u uw gasten zonder ze ongerust te maken?

Door ze één eenvoudige regel te geven, voordat de oplichter ze schrijft. Booking.com herinnert gasten eraan dat het nooit via e-mail, telefoon, sms of WhatsApp om hun creditcard vraagt, dat een overboeking die afwijkt van het betaalbeleid in de bevestiging verdacht is en dat er nooit met cadeaukaarten wordt betaald. Neem deze punten op drie plaatsen over:

• In de advertentie: één zin in de beschrijving, bijvoorbeeld „Wij vragen u nooit om te betalen via een link, sms of WhatsApp. De betaling volgt alleen de voorwaarden van uw bevestiging van Booking.com.”
• In het bevestigingsbericht: dezelfde herinnering, verstuurd via het berichtensysteem van Booking.com. Onze sjablonen voor geplande berichten lenen zich goed voor deze toevoeging.
• In het welkomstboek: een rubriek „Betaling en veiligheid” die de gast tijdens het verblijf leest, wanneer hij soms berichten krijgt over een verlenging of een toeslag.

Een digitaal welkomstboek heeft hier een praktisch voordeel: u voegt de rubriek toe of past ze aan wanneer u wilt, zonder opnieuw te drukken, en de gast opent ze door een QR-code te scannen, zonder app te installeren. Met de vertaling in zes talen leest ook uw buitenlandse gast de herinnering, en die is vaak het vaakst doelwit.

Wat doet u als u hebt geklikt of uw account is gehackt?

Handel op volgorde, en snel. Booking.com raadt aan:

1. Eerst het wachtwoord van uw mailbox wijzigen, daarna dat van Booking.com, via https://admin.booking.com/ en de hulplink voor inloggen op de aanmeldpagina.
2. Uw apparaat scannen met een actuele virusscanner: sommige phishingaanvallen installeren schadelijke software in plaats van een wachtwoord te stelen.
3. Het incident binnen 24 uur bij Booking.com melden, met een kopie van de verdachte e-mail en een lijst van de activiteit die u niet herkent.

Waarschuw daarna de gasten met lopende of komende boekingen via het berichtensysteem van Booking.com: ze betalen niets buiten de voorwaarden van de bevestiging. Als gastgegevens mogelijk zijn ingezien, kunnen uw verplichtingen onder de AVG gelden: ons artikel over gastgegevens en de AVG zet het op een rij.

Voor Frankrijk noemt Cybermalveillance.gouv.fr nog meer stappen: uw kaart laten blokkeren bij de bank als u bankgegevens hebt gegeven, bewijs bewaren, aangifte doen, de e-mail melden bij Signal Spam of Phishing Initiative, een frauduleuze sms doorsturen naar 33700 en Info Escroqueries bellen op 0 805 805 817 (gratis). In Nederland, België en andere landen wendt u zich tot de overeenkomstige instanties, zoals de politie en uw bank.

En bij Airbnb, geldt daar een andere regel?

Het principe is hetzelfde, met een nog strengere regel. De hulppagina van Airbnb over betalingen buiten het platform verbiedt hosts om vóór de boeking een boeking of contact buiten Airbnb te vragen. Ze herinnert eraan dat betalen buiten Airbnb blootstelt aan fraude en phishing, en dat een verzoek om een bankoverschrijving op een frauduleuze boeking kan wijzen. Airbnb blokkeert vóór de boeking ook berichten met contactgegevens of externe links, en vraagt verdachte berichten te melden. Staat u op beide platforms, dan volstaat één regel voor uw gasten: elke betaling verloopt via het boekingsplatform. Voor de andere regels van Airbnb over de identiteit van gasten en de documenten die u mag vragen, leest u ons artikel over identiteitsbewijs, contract en apps.

Het belangrijkste om te onthouden

FAQ

Is het Europese onderzoek gericht tegen hosts?

Nee. De procedure richt zich tegen Booking.com als zeer groot onlineplatform. Ze gaat over de manier waarop het platform risico's beoordeelt en beperkt, niet over de accommodaties. Eventuele maatregelen zouden zich tot Booking.com richten.

Mag Booking.com per e-mail om mijn inloggegevens vragen?

Nee. Booking.com verklaart dat het u nooit om uw inloggegevens vraagt. Een e-mail die om uw wachtwoord of verificatiecode vraagt, is een phishingpoging.

Een gast kreeg een vals betalingsbericht: is mijn account gehackt?

Dat is een van de signalen die Booking.com noemt, dus controleer het meteen: wijzig uw wachtwoorden, controleer de gebruikers en de telefoonnummers voor tweestapsverificatie en meld het incident binnen 24 uur bij Booking.com. Vraag de gast niets te betalen buiten de voorwaarden van zijn bevestiging.

Volstaat sms als tweestapsverificatie?

Het is beter dan niets, maar Booking.com raadt een tijdgebonden code uit een app (TOTP) aan, die moeilijker te onderscheppen is en ook zonder mobiel netwerk werkt.

Hoe controleer ik of een e-mail echt van Booking.com komt?

Beweeg de muis over de link zonder te klikken, of houd hem op uw telefoon ingedrukt: het adres moet eindigen op „.booking.com”. Twijfelt u, klik dan niet en log rechtstreeks in via admin.booking.com om te zien of het bericht daar staat.

Een veiligheidsherinnering in uw welkomstboek, in vijf minuten

Het onderzoek zal tijd kosten; uw gasten komen deze week. Voeg nu uw rubriek „Betaling en veiligheid” toe: de generator voor welkomstboeken van het aanbod Essentieel (gratis, opties naar keuze) maakt een welkomstboek met QR-code zonder registratie, op elk moment aan te passen zonder opnieuw te drukken.

Beeldcredits. Cover: foto „Red padlock on black computer keyboard” van FlyD, Unsplash, Unsplash-licentie. Foto's in de tekst: Berlaymontgebouw van EmDee, Wikimedia Commons, licentie CC BY-SA 4.0, en illustratie gebruikersnaam en wachtwoord van Santeri Viinamäki, Wikimedia Commons, licentie CC BY-SA 4.0; afbeeldingen omgezet naar WebP en verkleind.