Waarschuwing voor Booking-fraude: oplichters kennen zelfs je hotel, reisdatum en reserveringsnummer

Vakantiegangers die via Booking.com of andere boekingsplatforms een hotel of appartement in Spanje reserveren, worden gewaarschuwd voor een sterk groeiende vorm van phishing. Oplichters sturen berichten die opvallend overtuigend zijn, omdat zij soms beschikken over de echte naam van de reiziger, het geboekte hotel, de aankomstdatum en zelfs het reserveringsnummer.

Vervolgens wordt gevraagd om de reservering opnieuw te bevestigen of betaalgegevens te controleren via een link. Wie daarop ingaat, kan zijn creditcardgegevens of geld rechtstreeks aan criminelen verliezen.

Aantal meldingen schiet omhoog

Volgens cijfers die door de Nederlandse Fraudehelpdesk zijn verzameld, is het aantal meldingen rond fraude met boekingsplatforms sterk toegenomen.

In de eerste helft van 2026 werden 1.072 meldingen geregistreerd. Een half jaar eerder waren dat er 162 en eind 2024 nog 75.

Meer dan 90 procent van de meldingen zou betrekking hebben op fraude waarbij Booking.com wordt genoemd.

De Fraudehelpdesk waarschuwde eind juli opnieuw expliciet voor deze vorm van oplichting. Slachtoffers ontvangen na een echte boeking een vals bericht waarin om verificatie, betaalgegevens of geld wordt gevraagd.

WhatsApp populair bij oplichters

Veel van de frauduleuze berichten worden via WhatsApp verstuurd.

Dat maakt de berichten extra geloofwaardig. De afzender doet zich bijvoorbeeld voor als het hotel waar iemand daadwerkelijk heeft geboekt en schrijft dat de reservering moet worden bevestigd omdat er anders problemen zouden ontstaan.

Daarbij wordt vaak tijdsdruk gebruikt:

de betaling zou zijn mislukt, de kaart zou opnieuw moeten worden gecontroleerd of de boeking zou worden geannuleerd wanneer niet snel wordt gereageerd.

Het Spaanse nationale cybersecurity-instituut INCIBE waarschuwde in juli eveneens voor een campagne waarbij criminelen zich via WhatsApp voordoen als hotels en daarbij echte reserveringsgegevens gebruiken.

Hoe kunnen criminelen zoveel over je boeking weten?

Dat is precies wat deze fraude zo gevaarlijk maakt.

Wanneer een bericht je naam, hotel en verblijfsdata correct vermeldt, is de eerste gedachte al snel dat het wel echt moet zijn.

Criminelen kunnen aan die informatie komen nadat accounts of computersystemen van accommodaties zijn gecompromitteerd.

INCIBE beschreef onlangs een geval waarbij het account van een hotel op een reserveringsplatform was gehackt. Vervolgens konden criminelen via het officiële berichtensysteem van het platform valse berichten naar echte gasten sturen. Twee ongeoorloofde bedragen werden daarna van de kaart van een slachtoffer afgeschreven.

Booking.com waarschuwt zelf eveneens dat gestolen reizigersgegevens kunnen worden gebruikt voor zeer overtuigende phishing via WhatsApp, telefoon of e-mail.

Zelfs een bericht via het boekingsplatform kan verdacht zijn

Een belangrijke waarschuwing is daarom dat reizigers niet automatisch moeten aannemen dat een bericht veilig is omdat het via een vertrouwd kanaal lijkt binnen te komen.

Wanneer een account van een accommodatie wordt overgenomen, kan een crimineel soms vanuit dat account communiceren.

Dat betekent dat zelfs een bericht waarin alle reserveringsgegevens correct staan kritisch moet worden bekeken wanneer onverwacht om een nieuwe betaling, creditcardgegevens of andere financiële informatie wordt gevraagd.

Booking vraagt niet via WhatsApp om creditcardgegevens

Booking.com is daar zelf duidelijk over.

Het bedrijf zegt dat het reizigers nooit via e-mail, telefoon, sms of WhatsApp vraagt om hun creditcardgegevens door te geven.

Ook zal Booking.com reizigers niet vragen een bankoverschrijving te doen die afwijkt van de betalingsvoorwaarden die in de oorspronkelijke reserveringsbevestiging staan.

Een onverwacht verzoek om opnieuw betaalgegevens in te vullen is daarom een belangrijke waarschuwing.

Boekingsgegevens kloppen? Toch niet zomaar klikken

Juist doordat criminelen over echte gegevens kunnen beschikken, is het niet voldoende om alleen te controleren of het hotel en de reisdata kloppen.

Krijg je na het boeken van een verblijf in Spanje onverwacht een bericht, dan is het veiliger om:

• niet op de meegestuurde link te klikken;
• de Booking-app of website zelf te openen;
• daar je reservering te controleren;
• rechtstreeks contact op te nemen met het hotel;
• het telefoonnummer zelf op de officiële website van het hotel op te zoeken;
• nooit betaalgegevens via WhatsApp door te geven.

De Fraudehelpdesk adviseert eveneens om bij een onverwacht verificatie- of betalingsverzoek eerst contact op te nemen met het boekingsplatform of de accommodatie.

Rechtstreeks boeken voorkomt niet alle fraude

Sommige reizigers kiezen vanwege dergelijke incidenten liever voor rechtstreeks boeken bij een hotel.

Dat kan het risico verkleinen dat gestolen gegevens uit een account op een groot boekingsplatform worden gebruikt, maar het biedt geen volledige bescherming.

Ook hotels kunnen zelf slachtoffer worden van cybercriminaliteit en ook een e-mailadres, website of computersysteem van een accommodatie kan worden aangevallen.

De belangrijkste bescherming blijft daarom kritisch omgaan met ieder onverwacht verzoek om opnieuw te betalen of financiële gegevens in te voeren.

Wat als je al op de link hebt geklikt?

Wie alleen op een link heeft geklikt maar verder niets heeft ingevuld, doet er verstandig aan de website direct te sluiten en zijn apparaat te controleren.

Heb je wel een wachtwoord, creditcardnummer of bankgegevens ingevuld, handel dan zo snel mogelijk.

Neem contact op met je bank of creditcardmaatschappij en laat indien nodig de kaart blokkeren. Verander daarnaast wachtwoorden wanneer je die op de frauduleuze website hebt ingevoerd.

Booking.com adviseert reizigers die denken slachtoffer te zijn geworden onmiddellijk contact op te nemen met de klantenservice.

Ook in Spanje officiële waarschuwingen

Het probleem speelt nadrukkelijk ook bij reizen naar Spanje.

Het Spaanse cybersecurity-instituut INCIBE heeft de huidige campagne een hoge risicoclassificatie gegeven en waarschuwt reizigers die via WhatsApp of andere kanalen worden benaderd door iemand die zich voordoet als hun hotel.

Wie in Spanje daadwerkelijk geld is kwijtgeraakt, kan bovendien aangifte doen bij de Policía Nacional of Guardia Civil.

Vooral geloofwaardigheid maakt fraude gevaarlijk

Phishingberichten waren vroeger vaak te herkennen aan slecht taalgebruik, vreemde e-mailadressen of onpersoonlijke teksten.

Bij deze nieuwe vorm is dat veel moeilijker.

Wanneer een bericht vlak na je echte boeking binnenkomt en precies vermeldt waar en wanneer je naar Spanje reist, lijkt het logisch dat het van het hotel afkomstig is.

Precies daarop rekenen de criminelen.

De belangrijkste regel blijft daarom eenvoudig: krijg je na een hotelboeking onverwacht een link waarmee je opnieuw moet betalen of je kaart moet bevestigen, gebruik die link dan niet. Open zelf de officiële app of website en controleer rechtstreeks bij de accommodatie of het verzoek echt is.