Een datalek, wat kun je doen?

Hotels verwerken veel gast- en reserveringsgegevens en werken vaak met verschillende boekingsplatforms en externe systemen. Daardoor kunnen zij kwetsbaar zijn voor phishingincidenten en datalekken. Bij zulke incidenten doen criminelen zich bijvoorbeeld voor als hotel of boekingsplatform om gasten te misleiden.

Update datalek van 25 en 26 mei

De afgelopen periode hebben meerdere hotels te maken gehad met phishingincidenten waarbij gast- en reserveringsgegevens mogelijk zijn buitgemaakt. We zijn daarom gestart met een inventarisatie om te achterhalen hoeveel leden te maken hebben gehad met het datalek van 25 en 26 mei. Daarbij hebben we 178 meldingen ontvangen, wat neerkomt op ongeveer 6% van de Nederlandse hotelsector.

Onder onze regie werken cybersecurityspecialisten van Northwave, cybersecurity- en privacyjuristen van Kennedy Van der Laan en Hospecs samen om meer duidelijkheid te krijgen. De eerste gesprekken met mogelijk betrokken technologiepartijen hebben plaatsgevonden. Het onderzoek loopt nog, daarom kunnen er op dit moment nog geen conclusies worden getrokken.

Vragen van gasten

Je kunt vragen krijgen van gasten over de veiligheid van hun boeking of over de betrouwbaarheid van ontvangen berichten. Het is daarom belangrijk om voorbereid te zijn op vragen en je medewerkers te instrueren hoe zij hiermee omgaan. Het is aan jou als ondernemer om te bepalen of en hoe je je gasten hierover informeert. Je kunt:

• je gasten actief attenderen bij contactmomenten;
• een korte waarschuwing plaatsen op je website;
• je medewerkers instrueren om alert te reageren op vragen 

Vanuit KHN adviseren we je om ervoor te zorgen dat je voorbereid bent op vragen van gasten en dat je medewerkers weten hoe zij deze kunnen beantwoorden. Adviseer je gasten om verdachte berichten altijd te verifiëren via officiële kanalen en kijk mee met je gasten.

Welke maatregelen kun je treffen?

Dit soort incidenten komen helaas steeds vaker voor. Ondanks dat niet te herleiden is welke partner in de boekingsketen is gehackt, zien we dat hackers zich richting de gast vaak voordoen als het hotel of boekingsplatform. Hotels zijn extra kwetsbaar, omdat zij veel persoons- en betaalgegevens verwerken, gebruikmaken van boekingsplatforms en externe systemen. Cyberaanvallen richten zich met name op phishing en social engineering, ransomware en kwetsbare koppelingen met externe systemen. 

Je kunt je hiertegen beschermen door te focussen op een aantal belangrijke maatregelen.

1. Zorg voor een sterke basisbeveiliging (de “hygiëne”)
   Sterke wachtwoorden en multi-factor authenticatie, regelmatige updates en patches van systemen, gebruik van antivirus, firewalls en monitoring en versleuteling van data zoals betalingen, reserveringen en e-mails vormen de basis.
2. Werk met een standaardzin in reserveringsbevestigingen en pre-arrival mails
   Bijvoorbeeld: “Let op: wij zullen u nooit via e-mail of berichtenapps vragen om een betaling of uw betaalgegevens te delen. Twijfelt u? Neem altijd rechtstreeks contact met ons op.”
3. Beperk toegang tot systemen 
   Geef je medewerkers alleen toegang tot wat ze nodig hebben. Werk met functie- en rol-gebaseerde toegang en gebruik extra verificatie voor gevoelige systemen.
4. Train je medewerkers 
   Veel aanvallen beginnen met een medewerker die op een link klikt, inloggegevens deelt of telefonisch wordt misleid. Met regelmatige phishing-trainingen, simulaties en duidelijke instructies kun je dit risico beperken.
5. Beveilig je wifi en netwerken
   Scheid gastwifi en interne systemen, gebruik sterke encryptie en beveilig ook IoT-apparaten, zoals slimme sloten of thermostaten.
6. Let op externe partijen en boekingsplatforms
   Werk je met Online Travel Agency’s, PMS-systemen en betaalproviders? Controleer de beveiliging van je partners, beperk de toegang van externe systemen en monitor verdachte activiteiten.
7. Maak back-ups en bereid incidenten voor
   Zorg voor regelmatige offline back-ups, stel een incident response plan op en oefen wat je kunt doen bij een hack.
8. Controleer en test regelmatig
   Voer security audits uit, laat systemen testen en blijf je beveiliging continu verbeteren.
9. Kijk voor praktische tips op Platform Veilig Ondernemen.