Spam n.a.v (nieuw?) datalek Hotel Kapellerput-Heeze

[brrrbaybay]

Vandaag ontving ik een Whatsapp-bericht namens hotel Kapellerput-Heeze om mijn boeking te bevestigen. De gegevens en data kloppen, dus het komt erg legitiem over. (Afgezien van de hele foute bevestigingslink).

Ben benieuwd of er meer mensen zijn die dit ook van andere hotels hebben ontvangen. Mijn boeking is rechtstreeks bij het hotel zelf gemaakt (dus niet via booking.com oid) Ik heb het hotel op de hoogte gebracht, maar verder nog niks gehoord over een datalek van ze.

Update 02-06-2026 19:00

Had nog steeds niks van het hotel gehoord, dus heb net weer telefonisch contact opgenomen. 'Ze zijn ermee bezig', maar vinden het kennelijk niet nodig om hun gasten proactief te waarschuwen voor phishing namens hun. Kennelijk maken ze zich drukker om hun reputatie dan om de schade voor hun gasten.

Op BNR: https://www.bnr.nl/nieuws/tech-innovatie/10602125/hotelsector-geraakt-door-datalek-meldingen-stromen-binnen


Ps.

Ik ben een Forum-N00b. Als ik dit op de verkeerde plek heb gepost, laat het dan even weten😅

[ Voor 33% gewijzigd door brrrbaybay op 02-06-2026 19:00 ]

[President]

Niks hier, maar hoe weet je dat de bevestigingslink heel fout is?

[Rhapsody]

Begin mei kreeg ik een mail van Hotel Post Plaza in Leeuwarden. Nog geen half uur later kreeg ik via WhatsApp een berichtje vanuit Brazilië om mijn boeking te 'bevestigen', met daarin ook de exacte in- en uitcheckdatum en naam.

Beste gast,

Wij hechten grote waarde aan de privacy en veiligheid van onze gasten. Helaas moeten wij u informeren dat wij onlangs zijn geconfronteerd met een veiligheidsincident.

Wat is er gebeurd? Onze systemen hebben te maken gehad met ongeautoriseerde toegang door een externe partij. Hierdoor zijn mogelijk bepaalde gegevens, zoals uw naam en telefoonnummer, ingezien. Wij hebben direct maatregelen genomen om dit lek te dichten en de beveiliging aan te scherpen.

Wat betekent dit voor u? Criminelen kunnen deze gegevens misbruiken om u namens ons te benaderen via WhatsApp of SMS. Zij vragen hierin vaak om een betaling te bevestigen of gegevens aan te vullen via een link.

Ons dringende advies:
Negeer en blokkeer elk WhatsApp-bericht dat beweert van Post-Plaza Hotel & Grand Café te zijn en vraagt om betalingen of gevoelige informatie.
Klik nooit op links in deze berichten waar wordt gevraagd om aanvullende gegevens.
Wij zullen u nooit via WhatsApp om betalingen of gevoelige informatie vragen.
Wat doen wij verder? Wij hebben het incident gemeld bij de relevante instanties (zoals de Autoriteit Persoonsgegevens) en werken nauw samen met IT-specialisten om herhaling te voorkomen.

Onze oprechte excuses voor dit ongemak. Wij vinden het ontzettend vervelend dat u hier hinder van kunt ondervinden. Mocht u vragen hebben naar aanleiding van dit bericht, dan staan wij u uiteraard persoonlijk te woord.

Met vriendelijk groet,

Post-Plaza Hotel & Grand Café

[brrrbaybay]

President schreef op maandag 1 juni 2026 @ 17:57:
Niks hier, maar hoe weet je dat de bevestigingslink heel fout is?

De domijnnaam van de link was de naam van het hotel met een getal eraan vastgeplakt. Overduidelijk als poging om te laten lijken alsof het de legitieme domijnnaam was. Daarnaast werd je in het bericht onder druk gezet om binnen 12 uur te reageren, omdat anders je boeking zou vervallen.

[brrrbaybay]

Rhapsody schreef op maandag 1 juni 2026 @ 18:00:
Begin mei kreeg ik een mail van Hotel Post Plaza in Leeuwarden. Nog geen half uur later kreeg ik via WhatsApp een berichtje vanuit Brazilië in mijn boeking te 'bevestigen', met daarin ook de exacte in- en uitcheckdatum en naam.


[...]

Dan heeft jouw hotel in ieder geval verantwoordelijkheid genomen. Heb dit hotel vanmiddag gebeld. Ze waren er kennelijk van op de hoogte en er was "een IT bedrijf naar aan het kijken". Heb ze dringend verzocht om hun gasten op de hoogte te brengen en alert te zijn op scams, maar heb nog niks van ze ontvangen.

[ReTeP20002]

Ook mijn dochter heeft een phishingbericht ontvangen, via whatsapp, wat lijkt op een nummer uit India:



Alle gegevens in de Whatsapp kloppen, op de bevestigingslink na, dat is een phishinglink:
https://roomstay-pending239861.com/58262116

Of het bedrijf van het nummer van de whatsapp ermee te maken heeft ben ik nog niet achter, het gaat om dit nummer: [phone].


Ik heb het hotel proberen te bereiken, maar de telefoon wordt nu niet beantwoord.

[brrrbaybay]

ReTeP20002 schreef op dinsdag 2 juni 2026 @ 15:38:
Ook mijn dochter heeft een phishingbericht ontvangen, via whatsapp, wat lijkt op een nummer uit India:

[Afbeelding]

Alle gegevens in de Whatsapp kloppen, op de bevestigingslink na, dat is een phishinglink:
https://roomstay-pending239861.com/58262116

Of het bedrijf van het nummer van de whatsapp ermee te maken heeft ben ik nog niet achter, het gaat om dit nummer: [phone].
[Afbeelding]

Ik heb het hotel proberen te bereiken, maar de telefoon wordt nu niet beantwoord.

Naar. Zo zag die van mij er ook ongeveer uit, maar dan van een +44 nummer (UK).

[CLB]

nieuws: Meer dan honderd Nederlandse hotels zijn getroffen door datalek?

[Koninkje]

Het lek komt waarschijnlijk bij de channel manager vandaan, ik zie online veel verschillende kanalen, en veel hotels gebruiken verschillende property management systemen. Dan blijft de channel manager over, en als je daar eenmaal inzit op employee niveau is een export draaien kinderlijk eenvoudig.

[Dennis van der Stelt]

Bovenstaande bericht kreeg ik 25 maart. Inmiddels is profiel foto en naam aangepast. Het zag er destijds zeer aannemelijk aan. Url is niet heel gek, alleen was tel.nr. uit Uruguay. Dat is wat mij triggerde. Contact opgenomen met hotel en na enkele dagen kreeg ik reactie dat hun systeem gehackt was. Ik neem nu aan dat het om hetzelfde gaat als van dit artikel.

[SunnieNL]

Ik heb hem gisteren gehad. Hotel bericht en kreeg binnen een uur een standaard mail dat hun systemen niet gehacked waren. Euhm, jawel, hoe komen ze anders aan precies alle gegevens van een boeking die ik 10 mei heb gedaan. Dat moet in een van jullie systemen liggen Hetzij eigen systemen, hetzij supply chain. Maar die laatste zijn ze ook voor verantwoordelijk als data controller.

Dus die hebben nu een volledig AVG verzoek gekregen van mij.

Die boeven hebben verder niet echt de moeite gedaan het ook maar enigzins echt te laten lijken...

Gezien de link naar een fake booking.com site ging waar de chat na paar minuten aktief werd had ik ook gisteravond security van booking een bericht gestuurd, die vroegen vanochtend meer data op. Cloudflare (die voor de website zat) had na report binnen 2 minuten het domein in de dns geblokkeerd met een vermoedelijk phishing pagina.

spoiler:

[ Voor 11% gewijzigd door SunnieNL op 02-06-2026 21:48 ]

[AlexFL]

Koninkje schreef op dinsdag 2 juni 2026 @ 21:29:
Het lek komt waarschijnlijk bij de channel manager vandaan, ik zie online veel verschillende kanalen, en veel hotels gebruiken verschillende property management systemen. Dan blijft de channel manager over, en als je daar eenmaal inzit op employee niveau is een export draaien kinderlijk eenvoudig.

Vooralsnog zie ik verschillende channel managers in gebruik bij de hotels benoemd in dit topic:


Smarthotel, Mews eigen, in het nieuwsartikel wordt lighthouse/cubilis benoemd.

vooralsnog lijkt het dus wat vroeg om naar een bepaalde channel manager te wijzen.

[Basxt]

Wij hebben een boeking gedaan via AirBNB, en gister kregen we ook zo'n whatsapp bericht. Alleen linkte de scamlink naar een booking.com omgeving. Bijna alle gegevens van de reservering waren al ingevuld op deze pagina.

Helaas heeft mijn vriendin geprobeerd met haar creditcard te betalen, waarna deze een foutmelding gaf. Daarna via de Airbnb app gedaan, (want er moest dus nog wel echt betaald worden) en dit ging uiteraard wel goed. (creditcard is inmiddels geblokkeerd....)

Het lijkt dus dat ze ook onderscheidt maken tussen reserveringen die nog moeten betalen, en die al hebben betaald, waarbij die al hebben betaald bijvoorbeeld een borgsom moeten betalen en deze later 'teruggestort' zal worden.

Imo een erg goed uitgevoerde phishing. Helaas er ingetrapt. Geen geld is tot nu toe van onze rekening gehaald.




Het telefoonnummer was eerst de naam van de desbetreffende airbnbhost.
Sinds de komst van bedrijfsaccounts en gewenning aan het feit dat men tegenwoordig contact zoekt via whatsapp, lijken zulke berichten steeds normaler.

[ Voor 7% gewijzigd door Basxt op 03-06-2026 10:53 ]

[AlexFL]

Vandaag ook gasten van een aantal van mijn klanten zulke mails, bron van het lek is nog altijd niet duidelijk. Booking.com zelf of idd een channel manager zijn vooralsnog most likely.

[NoBrain73]

Nee Booking is het in geen geval dit keer andere OTA's hebben ook klanten die getroffen zijn. Channel manager of PMS zijn zeer waarschijnlijk de boosdoender.

[effem]

Basxt schreef op woensdag 3 juni 2026 @ 10:48:
Wij hebben een boeking gedaan via AirBNB, en gister kregen we ook zo'n whatsapp bericht. Alleen linkte de scamlink naar een booking.com omgeving. Bijna alle gegevens van de reservering waren al ingevuld op deze pagina.

Helaas heeft mijn vriendin geprobeerd met haar creditcard te betalen, waarna deze een foutmelding gaf. Daarna via de Airbnb app gedaan, (want er moest dus nog wel echt betaald worden) en dit ging uiteraard wel goed. (creditcard is inmiddels geblokkeerd....)

Het lijkt dus dat ze ook onderscheidt maken tussen reserveringen die nog moeten betalen, en die al hebben betaald, waarbij die al hebben betaald bijvoorbeeld een borgsom moeten betalen en deze later 'teruggestort' zal worden.

Imo een erg goed uitgevoerde phishing. Helaas er ingetrapt. Geen geld is tot nu toe van onze rekening gehaald.


[Afbeelding]

Het telefoonnummer was eerst de naam van de desbetreffende airbnbhost.
Sinds de komst van bedrijfsaccounts en gewenning aan het feit dat men tegenwoordig contact zoekt via whatsapp, lijken zulke berichten steeds normaler.

Ik heb dezelfde message (uiteraard voor andere hotels en data) 3x gehad voor 3 verschillende hotels vanaf 3 verschillende nummers in de UK

Hotels waren allemaal in Belgie dus dat was alarmbel 1. En de link in de email ging naar een vage site. Dat was alarm2. Toch maar even contact gezocht met de hotels om te verifieren dat mijn reservering er nog steeds is.

Mijn reserveringen waren allemaal op 12 mei gemaakt en waren direct via het hotel reserveringssysteem gemaakt (dus niet via booking)

[ Voor 3% gewijzigd door effem op 03-06-2026 20:48 ]

[Basxt]

Koninkje schreef op dinsdag 2 juni 2026 @ 21:29:
Het lek komt waarschijnlijk bij de channel manager vandaan, ik zie online veel verschillende kanalen, en veel hotels gebruiken verschillende property management systemen. Dan blijft de channel manager over, en als je daar eenmaal inzit op employee niveau is een export draaien kinderlijk eenvoudig.

Ik heb geen verstand hiervan, maar de Airbnb host waar ik bij boek is een "simpele" host die wat landgoed huisjes verhuurd, gevestigd in België. Zou die dan ook gebruik maken van zo'n management systeem?

[effem]

Basxt schreef op woensdag 3 juni 2026 @ 21:50:
[...]

Ik heb geen verstand hiervan, maar de Airbnb host waar ik bij boek is een "simpele" host die wat landgoed huisjes verhuurd, gevestigd in België. Zou die dan ook gebruik maken van zo'n management systeem?

Nee airbnb doet dat. De host zelf gebruikt de airbnb software.

[Serpie]

Lighthouse/cubilisis en bijv smarthotel ook hebben zowel online boeking engine als channelmanager dus dan kan het ook direct bij hotel zijn.

Die fungeren dan ook tussen het hotel en airbnb als channelmanager, boeking gaat dan van airbnb - channelmanager - pms

Maar data gaat overal heen, voor de betalingen, upsells, slotensystemen, guestapps etc. benieuwd wat hier de gemeenschappelijke overeenkomst is.

[SunnieNL]

KHN heeft het onderzoek ondertussen overgenomen. Ik vind het overigens slecht dat de getroffen hotels hun gasten niet proactief waarschuwen. Ik vraag mij af of er al een melding is gedaan bij de AP door de hotels, zoals ze zouden moeten doen volgens de AVG. Zij zijn immers in veel gevallen data controller.

Het hotel waar ik heb geboekt kwam terug met een standaard verhaal dat het niet kon zijn dat de gegevens via hun systemen is gelekt. Daarop eerst een AVG verzoek ingediend, daarna gewezen op het grotere onderzoek. Al die mails negeren ze gewoon. Ze antwoorden gewoon niet meer terug naar mij na de standaard mail.

Een simpele reply als "we hebben het verkeerd ingeschat, we hebben ons aangesloten bij het ondezoek van KHN. Wij bieden onze excuses aan dat uw gegevens zijn gelekt" is toch niet zo heel moeilijk om te sturen?

Vooralsnog komt dit in ieder geval bij mij over dat het ze gewoon geen zak kan schelen en ik sta op het punt een ander hotel te boeken. Ook omdat ik gelezen heb dat dit hotel is toegewezen als opvang voor asielzoekers voor de komende 6 maanden en ik 2 weken daarna mijn kamer zou hebben daar... maar dat had ik niet geweten als ik niet had moeten zoeken naar het privacy beleid van het hotel (geen directe link, alleen te vinden via google).

[ Voor 3% gewijzigd door SunnieNL op 12-06-2026 16:05 ]

[NoBrain73]

Volgens mij zit de moeilijkheid er voor de hotels in dat als zij onderzoek doen en constateren dat de de lek niet bij hun plaats gevonden heeft zij ook niet weten wat er gelekt is. Dit kunnen ze immers niet constateren omdat de lek niet bij hen plaatsvond.
Welke melding moet men dan bij de APG doen? "We zien van sommige gasten bepaalde data online gemeld worden maar we weten niet welke data dit precies is en voor welke gasten dit geldt maar uit onze logs blijkt dat de data niet bij ons verkregen is"

In dit geval is de overeenkomst van alle gelekte gegevens dat deze ergens in de database van de channelmanager dan wel de PMS staan. Ik vind het wel opmerkelijk dat geen van de grote partijen die die diensten aanbieden aanbieden nog geen melding hebben gedaan en zou verwachten dat KHN eerder daar hun pijlen op richt ipv de individuele hotes.