- 84% van de hotelaccommodaties heeft het afgelopen jaar minstens één cyberincident meegemaakt
- De gemiddelde inbreukkosten in de horeca bedragen nu meer dan 4 miljoen dollar per incident
- 82% van de gedetecteerde inbraken maakt gebruik van gestolen inloggegevens in plaats van malware
- 55% of hotel properties suffered an outage caused by an external vendor or partner
- 48% van de IT-leiders in hotels betwijfelt of het eerstelijnspersoneel door AI gegenereerde phishing kan identificeren
- Vijf bevestigde inbreuken uit 2025 en 2026 laten zien hoe de aanvalspatronen zich vertalen in echte incidenten
De cijfers achter het dreigingsbeeld van 2026
Among hotel properties surveyed in 2025 hospitality security research:
- 84% heeft gedurende het jaar minstens één cyberincident meegemaakt
- 82% recorded a successful intrusion, with most targeted more than once per season
- 90% van de Noord-Amerikaanse hotel-IT- en beveiligingsleiders rapporteerde ten minste één aanvalspoging
- 58% van de accommodaties kreeg te maken met vijf of meer aanvallen in één hoogseizoen
- 44% van de gehackte eigendommen had te maken met 12 of meer uur kritieke systeemuitval
Het financiële plaatje komt overeen met de frequentiegegevens. De gemiddelde kosten voor inbreuken op ondernemingen in de horeca bedragen meer dan 4 miljoen dollar per incident. Voor panden die getroffen zijn door ransomware die zich richten op de bedrijfsvoering in plaats van alleen op data, stijgt het aantal nog verder wanneer inchecksystemen, reserveringsplatforms en sleutelloze toegang allemaal in één keer offline gaan tijdens een periode met hoge bezetting.
Hoe de aanvallen zijn veranderd
Referenties boven malware
82% van de beveiligingsdetecties in de horecasector is nu malwarevrij. Aanvallers verkrijgen gelekte, hergebruikte of gephishing-inloggegevens van werknemers en loggen in op PMS-platforms, boekingsintegraties en backoffice-netwerken. Ze bereiken hoogwaardige systemen zonder antivirusprogramma's te activeren die zijn ontworpen om op bestanden gebaseerde bedreigingen te onderscheppen.
Door AI gegenereerde phishing op schaal
Bijna de helft van de hotel-IT- en beveiligingsleiders zegt te betwijfelen of hun eerstelijnspersoneel geavanceerde, door AI gegenereerde phishing of op deepfake gebaseerde social engineering kan identificeren. Met AI kunnen aanvallers overtuigende reserveringscorrespondentie, boekingsbevestigingen en nabootsingen van managers produceren met een volume en kwaliteit die menselijke beoordeling moeilijk kan achterhalen. Receptiepersoneel dat honderden gastencommunicatie per dienst verwerkt, kan niet elke communicatie handmatig screenen op AI-generatie.
Operationele disruptie als doel
Ransomware-as-a-Service-groepen zijn overgestapt van alleen gegevensversleuteling naar operationele sabotage. Het doel is om reserveringen stop te zetten, het inchecken uit te schakelen en sleutelloze toegangssystemen te vergrendelen totdat de betaling de verstoring heeft opgelost. Voor een hotel dat tijdens het hoogseizoen een hoge bezettingsgraad heeft, veroorzaakt een 12 uur durende uitval nog grotere schade aan de omzet en de gastervaring voordat er over losgeld wordt onderhandeld. Veel groepen publiceren ook gestolen gegevens op leksites, ongeacht of het losgeld is betaald, waardoor de betaling wordt stopgezet als een manier om de gevolgen van de inbreuk te beperken.
De infrastructuur die het aanvalsoppervlak vergroot
Hotels verbinden PMS-platforms, POS-terminals, boekingsintegraties, wifi voor gasten, slimme kamerapparaten en leverancierssystemen in één enkel operationeel netwerk. Elke onderstaande categorie is een bevestigd toegangspunt of zijdelings bewegingspad.
Bevestigde inbreuken, 2025 en 2026
Aanvallers kregen toegang tot boekingsgegevens van klanten via gecompromitteerde hotelpartneraccounts die waren verbonden met het centrale reserveringssysteem van een groot wereldwijd reisplatform. De blootgestelde gegevens omvatten namen, e-mailadressen, telefoonnummers en gedetailleerde reisinformatie. Aanvallers zetten deze gegevens binnen enkele uren om in gerichte phishing- en sms-campagnes, waarbij ze rechtstreeks contact opnamen met gasten met instructies om de betalingsgegevens bij te werken via frauduleuze pagina's.
Het moederbedrijf van het platform kreeg een boete van € 475.000,- voor het melden van de inbreuk 22 dagen nadat de blootstelling was bevestigd. Het incident illustreert het vertrouwensexploitatiemodel: aanvallers gebruikten echte boekingsgegevens om de fraude overtuigend te maken.
Een grote overkoepelende hotelgroep die meerdere merken beheert, maakte bekend dat aanvallers zes maanden lang onopgemerkt toegang hadden gehad tot een kernwebapplicatie voordat ze werden ontdekt. De blootgestelde gegevens omvatten reserveringsnummers, namen, e-mailadressen, telefoonnummers, thuisadressen, verblijfsdata en specifieke gastverzoeken. Betaalkaartgegevens vielen niet onder het toepassingsgebied.
De verblijftijd van zes maanden gaf aanvallers voldoende diepte in het profiel van het gastcontact om doelgerichte fraude tegen frequente gasten uit te voeren, lang nadat de toegang was beëindigd. Hotels zonder dark web-monitoring en anomaliedetectie in de toegangslogboeken van applicaties geven aanvallers maandenlang onopgemerkte toegang.
Een appartementenhotelketen die in meerdere landen actief is, kreeg te maken met een inbreuk die zijn oorsprong vond in een kwetsbaarheid in het databasesysteem van een externe dienstverlener. De blootgestelde gegevens omvatten historische klantgegevens, waaronder namen, contactgegevens en geboortedata. Code aan de leverancierskant en een gedeelde infrastructuur vormden het toegangspunt, waardoor klantgegevens uit de volledige geschiedenis van de keten zichtbaar werden.
Een horecamanagementbedrijf dat toezicht hield op een portfolio van luxe- en merkresorts, ondervond een netwerkinbreuk die gevolgen had voor interne activa, werknemersdocumentatie en gastgegevens. Meldingen van datalekken zijn tot begin 2026 naar de getroffen personen verzonden, vergezeld van gratis identiteitsmonitoring om de blootstelling aan fraude verderop in de keten te beperken.
Beveiligingsonderzoekers identificeerden gecoördineerde, AI-ondersteunde phishing-campagnes gericht op hotelreceptiemedewerkers in Europese en Latijns-Amerikaanse vestigingen. Aanvallers stuurden valse annuleringsverzoeken voor reserveringen naar het personeel. Toen medewerkers de bijlagen openden, verscheen er een realistisch verzonnen Blue Screen of Death, waarin een fatale systeemfout werd geclaimd. Het scherm gaf het personeel de opdracht een reparatietool uit te voeren die informatiestelende code rechtstreeks in de infrastructuur van het kassasysteem en het vastgoedbeheersysteem implementeerde.
De campagne maakte tegelijkertijd misbruik van twee kwetsbaarheden: de bekendheid van het receptiepersoneel met reserveringscommunicatie en hun reflex om schijnbare systeemfouten snel op te lossen. De standaard phishing-bewustzijnstraining omvat geen verzonnen foutschermen of vervalste reserveringsaanvragen.
Waar de verdedigingskloof zit
De kloof tussen wat hotels inzetten en wat het huidige dreigingsniveau vereist, is meetbaar. Ongeveer 70% van de hotelexploitanten maakt gebruik van firewalls en standaard antivirusprogramma's. Minder dan de helft voert actieve kwetsbaarheidsscans, dark web-monitoring of penetratietesten uit.
De meeste hotels hebben perimetercontroles die de bedreigingen tegenhouden waar de meeste aanvallers al voorbij zijn gegaan. Inbraken op basis van inloggegevens, compromissen aan de kant van de leverancier en door AI gegenereerde phishing vinden allemaal plaats in de ruimte tussen fundamentele perimetertools en de actievere monitoring die deze zou detecteren.
Drie controlemechanismen blijken het vaakst afwezig te zijn wanneer inbreuken op de horeca achteraf worden beoordeeld:
- Actief scannen op kwetsbaarheden op PMS-, POS- en boekingsplatformintegraties, uitgevoerd met een frequentie die overeenkomt met de wijzigingssnelheid van die systemen
- Darkweb-monitoring om gecompromitteerde werknemersreferenties te identificeren voordat aanvallers deze gebruiken om in te loggen
- Social engineering training gekalibreerd op door AI gegenereerde inhoud, niet op generieke phishing-sjablonen van vijf jaar geleden
Waarom de kloof blijft bestaan
Vijf structurele factoren zorgen ervoor dat de meeste hoteleigendommen onder de drempel blijven die hun blootstelling aan bedreigingen vereist.
Personeel
De horeca concurreert met financiële dienstverlening, technologie en gezondheidszorg om dezelfde pool van beveiligingsprofessionals, tegen lagere salarisbudgetten. Uit recente brancheonderzoeken blijkt dat 80% van de hotels het werven en behouden van gekwalificeerd IT- en cyberbeveiligingspersoneel als een aanhoudend probleem beschouwt. Het resultaat is dat de verantwoordelijkheden op het gebied van beveiliging bij IT-generalisten, frontdeskmanagers of helemaal geen speciale beveiligingsfunctie terechtkomen.
Begroting
70% van het IT-personeel in de horeca noemt onvoldoende budget als de belangrijkste belemmering voor het verbeteren van hun beveiligingspositie. Beveiligingsinvesteringen in de horeca volgen vaak incidenten in plaats van erop te anticiperen. Een hotel waar recentelijk geen inbreuk is gepleegd, richt kapitaal op gastgerichte technologie voordat de infrastructuur wordt verhard. Na een inbreuk keert dat patroon om en zijn de benodigde uitgaven veel hoger en gebeuren ze onder druk.
Legacy systems
70% van de hotels beschikt over ten minste één verouderd systeem (software voor vastgoedbeheer, POS-platforms of netwerkinfrastructuur) dat leveranciers niet langer actief patchen. Deze systemen vertegenwoordigen een permanent aanvalsoppervlak. Het vervangen ervan vereist kapitaal, stilstand en migratierisico's die de meeste eigendommen jaar na jaar uitstellen. Aanvallers richten zich op bekende kwetsbaarheden in veelgebruikte horecasoftware, omdat de patchcyclus traag is.
Blootstelling aan loyaliteitsprogramma's
Loyaliteits- en beloningsaccounts hebben een echte geldwaarde: punten worden omgezet in vluchten, verblijven en cadeaubonnen. Ze slaan ook persoonlijke en reisgegevens op over de jaren heen van de gastgeschiedenis. Dit maakt ze tot een hardnekkig phishing-doel, los van het PMS. Credential stuffing-aanvallen op loyaliteitsprogramma's worden voortdurend uitgevoerd, waarbij gebruik wordt gemaakt van gehackte legitimatielijsten uit andere sectoren. Hotels die loyaliteitsbeveiliging als een marketingprobleem beschouwen in plaats van als een beveiligingsprobleem, creëren blootstelling die hun IT-teams niet in de gaten kunnen houden.
Hiaten in leverancierscontracten
De meeste overeenkomsten met hotelleveranciers omvatten geen zinvolle verplichtingen op het gebied van cyberbeveiliging, geen auditrechten en geen tijdlijnen voor het melden van inbreuken. Toch is de toegang van leveranciers tot PMS, boekingsplatforms en loyaliteitssystemen een bevestigd toegangspunt bij meerdere incidenten in 2025 en 2026. Hotels die zonder contractuele garanties leveranciersgaranties accepteren, kunnen de beveiligingsstatus van de systemen waar de gegevens van hun gasten doorheen stromen, niet verifiëren.
Wat 2026 toevoegt aan het dreigingsprofiel
Deepfake social engineering is van concept overgegaan naar operationeel gebruik. Aanvallers genereren overtuigende stem- of videobeelden waarin hotelmanagers of IT-ondersteuning worden nagebootst om het personeel aan te zetten tot acties waarbij malware wordt geïnstalleerd of toegangsgegevens worden overhandigd. Controles die zijn ontworpen voor tekstphishing pakken deze vector niet aan. Receptiepersoneel, dat met het hoogste targetingvolume wordt geconfronteerd, krijgt de minste beveiligingstraining.
RaaS-groepen publiceren nu gestolen hotelgegevens op leksites, ongeacht of het losgeld is betaald. Betaling staat openbaarmaking niet langer in de weg. Betaling staat openbaarmaking niet langer in de weg: kennisgeving aan de ICO en de betrokken gasten is vereist of de gecodeerde gegevens al dan niet zijn hersteld.
Waar te beginnen
Voor hotels- en horecaportfolio's brengt u eerst in kaart welke besturingselementen uit de bovenstaande lijst ontbreken en welke aanvalsoppervlakken uit de infrastructuurtabel niet worden gemonitord. Ons hospitality cybersecurity guide gaat dieper in op de specifieke aanvalsoppervlakken en basisveiligheidscontroles. Voor een direct inzicht in uw huidige beveiligingshouding kunt u de Cyvra Cybersecurity Assessment heeft betrekking op hotelomgevingen en produceert een lijst met geprioriteerde acties in plaats van een algemeen rapport.
Ryland levert al meer dan twintig jaar cyberbeveiligings-, compliance- en IT-beheerprogramma's voor gereguleerde organisaties in het Verenigd Koninkrijk en Europa, waaronder senior functies bij Microsoft, ING, IPsoft, PPHE en meer.