ACM ontvangt meer meldingen over fraude via reisplatforms

De ACM ontvangt meer meldingen over fraude en phishing via reis- en accommodatieplatforms, meldt de toezichthouder op 22 oktober; aantallen of een uitsplitsing publiceert zij niet.

Voor hotels en verhuurders die via een boekingsplatform gasten bereiken, raakt dit aan de veiligheid van hun partneraccount en de berichten waarmee zij reserveringen afhandelen. Als zo’n account wordt overgenomen, kan een aanvaller gastgegevens bereiken en berichten sturen die aansluiten bij een bestaande reservering. De ACM geeft geen cijfer waarmee bedrijven de omvang van die ontwikkeling kunnen vergelijken.

De ACM noemt een toename, geen omvang

Als voorbeelden noemt de ACM een accommodatie die niet beschikbaar blijkt en een vakantiehuis dat niet bestaat. Haar bericht bevat geen aantallen, periodevergelijking of uitsplitsing naar platform. Daardoor is niet vast te stellen hoeveel meldingen over welk soort fraude gaan of welk aandeel Booking.com daarin heeft.

Security.nl schrijft dat criminelen hotelaccounts overnemen en gebruiken om gasten phishingberichten te sturen. De ACM-pagina noemt die aanvalsvorm niet. Booking.com schrijft op zijn veiligheidspagina voor partners dat phishing tot accountovernames kan leiden en gastgegevens kan blootleggen. Het platform beschrijft tweestapsverificatie als extra controle wanneer inloggegevens zijn buitgemaakt. Dat maakt een partneraccount een schakel in het contact met gasten, maar bevestigt niet dat zo’n overname in de huidige zaak bij Booking.com heeft plaatsgevonden.

De melding is geen bewijs tegen Booking.com

De ACM plaatste het signaal in hetzelfde bericht als de Commissieprocedure, maar schrijft niet dat de klachten Booking.com betreffen. Het ACM-bericht noemt geen bevestigd datalek bij Booking.com en legt geen oorzaak voor de klachten vast.

In Nederland is de ACM de aangewezen toezichthouder voor de DSA. De Commissie leidt het toezicht op zeer grote platforms zoals Booking.com; de ACM werkt mee omdat Booking.com in Nederland is gevestigd. De Commissie opende op 21 oktober een formeel onderzoek naar nepaccommodaties, phishingrisico’s rond reserverings- en gastgegevens en de berichtenfunctie. De procedure toetst ook of betaalde hogere posities herkenbaar zijn als advertenties. Volgens de Commissie gebruikte het vooronderzoek Booking.com-risicorapporten uit 2026 en de drie voorafgaande jaren, transparantierapporten en antwoorden op informatieverzoeken van 23 september 2025 en 26 mei 2026. De Commissie zegt dat zij nog informatie kan opvragen, betrokkenen kan interviewen en inspecties kan uitvoeren. Het formele DSA-onderzoek naar reserveringsdata, nepaccommodaties en betaalde zichtbaarheid is een afzonderlijke ontwikkeling naast het ACM-signaal.

In september 2025 vroeg de Commissie Booking.com en andere platforms al hoe zij financiële oplichting en nepadvertenties opsporen. Voor Booking.com ging het onder meer om valse accommodaties, het controleren van aanbieders en advertentieregisters. De Commissie vroeg Booking.com in 2025 al naar nepadvertenties en identiteitscontroles. De procedure volgde na verdere beoordeling van risico-informatie. Ze richt zich nu ook op de gegevensstroom tussen Booking.com en accommodaties en op het ontwerp van de berichtenfunctie. Een formeel onderzoek is nog geen oordeel dat de regels zijn overtreden.

TUI laat zien waarom herkomst ertoe doet

Een recente zaak bij reisorganisatie TUI maakt het verschil tussen een phishingmelding en een bewezen gegevensbron concreet. Op 11 oktober bevestigde TUI een datalek, maar kon het bedrijf de hotel- en reisgegevens uit gemelde WhatsApp-phishingberichten niet aan dat lek koppelen, meldt Tweakers. TUI-klanten meldden dat die berichten hun naam, geboekte hotel en reisdata bevatten. De open vraag naar herkomst speelde ook bij TUI-klanten die phishingberichten met hun hotel en reisdata ontvingen. Het is een ander bedrijf en een afzonderlijk incident, geen aanwijzing voor een gelijke oorzaak of een datalek bij Booking.com.

De Commissie onderzoekt hoe Booking.com risico’s rond gegevens en berichten beoordeelt en beperkt, niet wat de oorzaak van iedere ACM-melding was. Voor een accommodatiebedrijf is de verbinding concreet: hetzelfde partneraccount kan gastgegevens en het communicatiekanaal omvatten. De ACM heeft geen cijfer gepubliceerd om de meldingen te wegen. De Commissie moet nog bepalen of de maatregelen van Booking.com aan de DSA voldoen.