Hotel geboekt? Pas op voor deze scam

Alsof “u-taal” de scam verraadt, kom op: ik heb zat keurige hotels gehad die je gewoon in stijve standaardmails aanspreken omdat hun PMS uit 2009 komt, zeg maar. De rode vlag is dat ze via een link meteen geld/gegevens willen en dat Booking/Expedia je data als confetti rondstrooit; bel het hotel ja, maar doe niet alsof taalgevoel je cybersecurity is.

het probleem is niet alleen “domme gasten die op een link klikken”, maar een hele keten van boekingsplatforms, channel managers en PMS’en waar data rondgaat zonder strak identity- en autorisatiemodel; dan helpt 2FA op de hotelinlog ook weinig als de leak bij een tussenpartij zit. de oplossing is dat hotels stoppen met WhatsApp als betaal-/verificatiekanaal en standaard een vaste communicatie-infrastructuur afdwingen (alleen in de booking-app/portal, DMARC/SPF op mail, en bij afwijkingen altijd terugbellen via nummer op de officiële site), want die taalpolitie (“u-taal dus nep”) gaat je echt niet redden als de oplichter gewoon je echte boekingsdatum en kamertype noemt… draagvlak komt pas als de sector dit collectief dichttimmert ipv elke ondernemer z’n eigen halfbakken koppelingetjes blijft stapelen.

Dat “de gast is klant bij het hotel dus hotel is altijd schuld” is ook wel lekker makkelijk vanaf de zijlijn. Als je boeking via Booking/Expedia en nog drie koppelingen loopt, dan kan het lek ook dáár zitten en zit het hotel net zo goed met de brokken. Gewoon nooit op zo’n app-link klikken, hotel zelf bellen en klaar, anders blijf je claims roepen maar ben je je geld alsnog kwijt.

Die paniek over “WhatsApp van het hotel” is ook een beetje gemakzuchtig: elk hotel dat ik ooit boekte, communiceert gewoon via het boekingsplatform of per mail, niet met vage betaal-linkjes in een app. En DianaBos doet alsof het juridisch allemaal zo helder is, maar als die data via een OTA of tussenpartij lekt, is het echt niet automatisch “hotel schuld” en klaar; causale verband, bewijs, ketenverantwoordelijkheid… succes ermee. Taalkundig gezien trouwens: “nep-appjes” is zo’n irritant woord; het zijn nepberichten, geen apps.

Typisch weer: iedereen wijst naar “de reiziger moet opletten”, maar het echte probleem is dat die hotels en tussenpartijen je boekingsdata blijkbaar voor een paar euro per reservering door 6 systemen jagen zonder fatsoenlijke beveiliging. Meer dan 100 hotels met een lek en niemand weet waar het vandaan komt… dat is geen pech, dat is structureel bezuinigen op IT tot het misgaat, en dan mag de klant de schade met z’n creditcard oplossen. En zo’n “één vast kanaal” is leuk, maar zolang ze je nummer en datum al kwijt zijn, sturen criminelen gewoon 3 appjes extra en de helpdesk kost weer €50.000 per jaar, dus dat doen ze toch niet.

Het zij zo: dit speelt al jaren, ik kreeg vorig jaar in Spanje zo’n “hotel”-appje met mijn echte incheckdatum erbij en zelfs de kamerprijs; als je moe bent na een reis klik je zó. Het probleem is niet dat mensen dom zijn, maar dat die hele boekingsketen één groot lek is met vijf tussenpartijen en nul verantwoordelijkheid. Hotel gebeld, die wisten van niks; maar mijn gegevens waren wél rondgegaan, en daar kun je dan mooi naar fluiten.