Bastion Hotels-datalek: 6.000 gasten en oplichters op WhatsApp
Door een phishingmail bij Bastion Hotels lekten boekingsgegevens van 6.000 gasten, waarna oplichters hen via sms en WhatsApp benaderden met een nepbetaalverzoek.
- Omvang
- 6.000 gasten (Bastion Hotels via NU.nl; berichtgeving via Security.NL)
- Uitgelekt
- naam telefoonnummer adres nationaliteit boekingsdata laatste cijfers creditcard
- Stand
- Onderzoek loopt, melding gedaan bij de Autoriteit Persoonsgegevens
Je boekte een hotelkamer voor een concert en twee dagen later komt er een WhatsApp-bericht namens Bastion Hotels: je reservering moet opnieuw bevestigd worden, via een link. Voor 6.000 gasten klopte dat verhaal verdacht goed, want precies hun boekingsgegevens lekten.
Eén klik op een phishingmail was genoeg
Het lek begon niet bij het hotel-systeem zelf, maar bij een medewerker die op een phishingmail klikte. Die leek naar het reserveringssysteem te wijzen, maar kwam uit bij een phishingsite. Daarmee waren de boekingsgegevens van gasten bij zeven hotels, van Almere tot Apeldoorn, in verkeerde handen: naam, adres, telefoonnummer, nationaliteit en boekingsdata, plus de laatste vier cijfers en de vervaldatum van de creditcard.
Waarom de laatste vier cijfers wél wat zeggen
Je volledige creditcardnummer is er niet, en ook geen identiteitsbewijzen, benadrukt het hotel. Toch is dit geen detail. De laatste cijfers plus vervaldatum staan op je bank-app en op afschriften; een beller die die cijfers noemt, klinkt alsof hij je kaart echt voor zich heeft. Samen met je telefoonnummer, je adres en de data waarop je niet thuis bent, is dat een compleet pakket voor een overtuigend telefoontje of appje.
Hoe benaderden de oplichters de gasten?
Met sms- en WhatsApp-berichten namens Bastion Hotels, waarin gasten hun gegevens moesten verifiëren via een link. Het hotel zette daar snel een waarschuwingspagina tegenover, meldde het lek bij de Autoriteit Persoonsgegevens en gaf wie had betaald het advies om de creditcard te blokkeren. Die communicatie was duidelijk. Wel blijft de vraag waarom een reserveringssysteem kaartcijfers en vervaldata bewaart. Hoe minder een hotel onthoudt, hoe minder een oplichter te vertellen heeft.
Zo check je een bericht namens Bastion
Bastion Hotels stuurt nooit betaalverzoeken via sms of WhatsApp, hoe herkenbaar het bericht ook is. Check je boeking zelf op de site of bel het hotel. Twijfel je over een appje, lees dan hoe je WhatsApp-fraude herkent voordat je reageert.