Waarom hotels bij ViaLuxury een 020-nummer krijgen

Voor ViaLuxury hebben we een verificatielijn gebouwd. Hotels krijgen bij een boeking een 020-nummer van ViaLuxury in plaats van het 06-nummer van de gast. Moet een hotel de gast spreken, dan belt het dat 020-nummer en noemt het eerst gegevens die het al van de gast heeft, zoals het boekingsnummer en de postcode. Pas daarna krijgt het hotel het nummer van de gast.

Zo komt het 06-nummer van de gast niet standaard in de systemen van elk hotel terecht, en kan het daar ook niet uitlekken. Mijn advies is om een leverancier een persoonsgegeven pas te geven op het moment dat die het nodig heeft.

Waar telefoonnummers van gasten lekken

Een boekingsplatform geeft bij elke boeking gegevens van de gast door aan het hotel. Die staan daarna in het systeem van het hotel, zichtbaar voor iedereen met een account van dat hotel. Hoe goed die accounts beveiligd zijn, bepaalt het hotel. Als platform heb je dat niet in de hand.

Hoe dat misgaat, bleek uit een boete die de Autoriteit Persoonsgegevens in 2021 aan Booking.com gaf. In december 2018 ontfutselden criminelen per telefoon de inloggegevens van medewerkers van 40 hotels in de Verenigde Arabische Emiraten. Met die accounts kwamen ze in een systeem van Booking.com bij de gegevens van 4.109 gasten: namen, adressen, telefoonnummers en details over de boeking. Daarna deden ze zich per mail of telefoon voor als het hotel of als Booking.com, en probeerden ze gasten geld afhandig te maken. (De boete van 475.000 euro was voor het te laat melden van het lek.)

De AP wees erop dat zo'n bericht geloofwaardig is als de oplichter precies weet wanneer je welke kamer hebt geboekt. Daar is geen creditcardnummer voor nodig. Een naam, contactgegevens en de boeking zijn genoeg.

Het kan ook veel groter. Een aanvaller zat vanaf juli 2014 in de systemen van hotelketen Starwood, die Marriott in 2016 overnam. Marriott ontdekte de aanval pas in september 2018 en schatte dat 339 miljoen gastrecords waren geraakt. In de tabel met gastprofielen stonden onder meer naam, adres, telefoonnummer en e-mailadres. Dat staat in het boetebesluit van de Britse toezichthouder ICO.

En hotels zijn een doelwit. Microsoft beschreef in maart 2025 een phishingcampagne tegen medewerkers van hotels die met Booking.com werken, actief sinds december 2024. De mails gingen bijvoorbeeld over een negatieve review of een vraag van een gast. Wie erin trapte, installeerde malware die inloggegevens en financiële gegevens steelt.

Wat we voor ViaLuxury gebouwd hebben

ViaLuxury is een online reisbureau: gasten boeken een hotel via ViaLuxury, en ViaLuxury geeft de boeking door aan het hotel. We hebben het platform van ViaLuxury opnieuw gebouwd, en de verificatielijn hoort daar nu bij.

In de boeking die het hotel krijgt, staat bij de gast een 020-nummer van ViaLuxury. Belt het hotel dat nummer, dan vraagt de lijn eerst om een combinatie van gegevens van de gast, zoals het boekingsnummer en de postcode. Kloppen die, dan krijgt het hotel het nummer van de gast bij die boeking.

Het idee is dat een hotel alleen het nummer krijgt van een gast die het al kent. Het boekingsnummer en de postcode heeft het hotel toch al, dus voor het hotel is het één telefoontje extra. Wie die gegevens niet heeft, krijgt het nummer niet.

Wat het oplevert

Lekt er iets bij een hotel, dan staat daar bij de gasten van ViaLuxury het 020-nummer en niet hun 06-nummer. Een oplichter met een gestolen boekingslijst kan de gast dus niet zomaar bellen of appen.

Wie de boekingen van een hotel heeft buitgemaakt, kan de vragen in principe wel beantwoorden. Maar dan moet die per boeking de verificatielijn bellen. Een gelekte lijst met 4.109 telefoonnummers is in één keer bruikbaar. Via de verificatielijn kost elk nummer een telefoontje, en elk telefoontje komt binnen bij ViaLuxury.

Het nummer van de gast staat nog wel bij ViaLuxury zelf. Dat is één systeem om goed te beveiligen, in plaats van de systemen van elk hotel waar een gast slaapt.

Waar je op let bij zo'n lijn

Het boekingsnummer moet niet te raden zijn. Bij oplopende nummers kan iemand die één boeking kent, de volgende proberen. Gebruik daarom lange, willekeurige boekingsnummers.

Beperk het aantal pogingen per boeking en per beller, en log elke opvraging: welk hotel, welke boeking, wanneer. Vraagt iemand op één dag nummers op bij boekingen van tien verschillende hotels, dan wil je dat zien. Een limiet op pogingen en het loggen van aanvallen staan ook in de OWASP Top 10 die Erik beschreef.

Ik zou het nummer ook alleen vrijgeven rond het verblijf. Een hotel heeft het nodig in de dagen voor aankomst en tijdens het verblijf, en een maand na vertrek niet meer.

Vertel hotels vooraf hoe het werkt. Anders ziet de receptie een onbekend 020-nummer en weet ze niet dat ze de gast via dat nummer kan bereiken.

Ook buiten de reiswereld

Hetzelfde patroon past bij elk bedrijf dat klantgegevens met leveranciers deelt, zoals een webshop met een bezorgdienst of een installateur die met onderaannemers werkt. Bij MOVEit verloren organisaties data via een leverancier. Daarover schreef ik in wat we leren van bekende hacks.

De AVG wijst dezelfde kant op. Volgens de Autoriteit Persoonsgegevens mag je niet meer persoonsgegevens verwerken dan strikt noodzakelijk is voor je doel. Dat heet dataminimalisatie.

Mijn advies is om voor elk gegeven dat je met een leverancier deelt na te gaan of die het altijd nodig heeft of alleen soms. Is het antwoord "soms", dan kan het achter een verificatiestap, zoals bij ViaLuxury.

Bronnen

• Autoriteit Persoonsgegevens: Boete Booking.com voor te laat melden datalek
• ICO: Penalty notice Marriott International Inc, 30 oktober 2020 (pdf)
• Microsoft Threat Intelligence: Phishing campaign impersonates Booking.com, delivers a suite of credential-stealing malware
• Autoriteit Persoonsgegevens: Ga na welke persoonsgegevens u verwerkt en waarom