Een cyberaanval is niet het einde van een hotel. Wat daarna gebeurt, bepaalt alles.

Inleiding

Het is 03:47 uur op een dinsdagochtend. De nachtmanager van een boutiquelocatie in de Randstad krijgt een telefoontje, maar niet van een gast. Van een systeembeheerder op de nachtdienst bij hun MSP, die de PMS-console al twintig minuten met een steeds ongemakkelijker blik volgt.

Reserveringen van drie dagen geleden worden gewijzigd. Een leverancierslogin is actief vanaf een IP-adres dat de locatie nooit eerder heeft gezien. Bestanden op de gedeelde schijf hernoemen zichzelf met een extensie die niemand herkent.

Om 09:30 uur diezelfde ochtend draait de locatie op handmatige check-in. De kaartlezers doen het niet. Het reserveringssysteem is offline. De IT-directeur is ter plaatse met een incidentresponsteam. En binnen het uur moet er een besluit vallen: de aankomsten van vanavond annuleren om de situatie te beheersen, of de boekingen openhouden en gasten geval voor geval opvangen.

Elk hotel van enige omvang komt uiteindelijk in een versie van dit scenario terecht. De sector is voorbij het punt waarop „wij worden niet aangevallen” een houdbare strategie is. De vraag is niet langer óf. De vraag is wanneer, en wat er daarna gebeurt.

Wat volgt is geen marketingdocument, al hebben wij er uiteraard baat bij als hotels na het lezen voor onze diensten kiezen. Het is een samenvatting van de operationele werkelijkheid zoals wij die zien na vijfentwintig jaar meekijken met deze sector, en in het bijzonder na de laatste drie jaar waarin security in de hospitality verschoof van een IT-kwestie naar een existentiële bedrijfsvraag.

Hoofdstuk 01

Het oude model van hotelsecurity behandelde aanvallen als uitzonderlijke gebeurtenissen. De securitystack werd gebouwd als een kasteelmuur: hoog, dik en duur. Alles van waarde stond binnen de muur. De aanname was dat de muur het zou houden. Hield hij het niet, dan stond het terugvalplan vaak op een papieren document dat niemand meer had gelezen sinds het was vastgesteld.

Dat model beschrijft de wereld waarin hotels opereren niet langer. Alleen al in de zomer van 2024 documenteerde het 2025 State of Hospitality Cyber Report van VikingCloud dat 82% van de Noord-Amerikaanse hotels minstens één geslaagde cyberaanval meemaakte. 58% werd vijf keer of vaker getroffen.^[1] Dit is geen piek. Dit is een plateau. De hospitality is een van de meest consequent aangevallen sectoren in cybercrime geworden, alleen voorafgegaan door de zorg en de financiële sector.

De redenen zijn niet raadselachtig. Hotels verwerken precies de gegevens die criminelen willen: betaalkaarten, identiteitsgegevens, reispatronen, zakelijke declaratie-informatie. Ze werken op schaal, met een personeelsverloop dat training tot een permanente taak maakt in plaats van een gebeurtenis. Ze leunen op koppelingen met tientallen externe leveranciers, die stuk voor stuk een mogelijke deur vormen. En ze zijn goed zichtbaar: een inbreuk bij een hotel is nieuws, wat zowel de druk om losgeld te betalen als de reputatieschade van niet betalen vergroot.

De gemiddelde kosten van een datalek in de hospitality kwamen in 2024 uit op $3,86 miljoen tegenover $3,62 miljoen in 2023.^[2] Dat bedrag loopt verder op als je de gemiste boekingen tijdens het herstel meetelt, plus juridische kosten, hogere verzekeringspremies en de jaren van vertrouwen die daarna weer moeten worden opgebouwd. Het sectoronafhankelijke wereldwijde gemiddelde ligt op $4,88 miljoen. Voor de hospitality ligt het cijfer onder dat wereldwijde gemiddelde, maar omdat vertrouwen hier zo zwaar weegt, overtreft de kwalitatieve schade vaak wat de balans laat zien.

In dezelfde rapportage staat een tweede, ontnuchterender getal. Van de hospitalitybedrijven die een inbreuk meemaakten, kreeg 89% er een of meer keer opnieuw mee te maken.^[3] De eerste aanval is niet zomaar een slechte dag. Het is een diagnose die architecturale zwakheden blootlegt die, als ze niet worden aangepakt, de tweede aanval garanderen. Hier loopt het denken in de trant van „wij zijn al geraakt, nu zal het wel goed zijn” catastrofaal spaak.

Onder de NIS2-richtlijn ligt de verantwoordelijkheid voor security bij hotels vanaf een bepaalde omvang bij de exploitant, en is het bestuur persoonlijk aansprakelijk. Het oude verweer „dat hebben wij uitbesteed aan onze IT-leverancier” werkt niet meer. Lekt je loyaltykoppeling gastgegevens, dan komt de persoonlijke aansprakelijkheid bij je bestuurders te liggen, hoofdelijk, niet bij je PMS-leverancier. Niet bij je centrale reserveringsplatform. Niet bij je verzekeringsmakelaar. Bij de individuele bestuurders die met de afspraak akkoord gingen.

Dit is de basislijn. Niet de uitzondering, niet de toekomst, niet iets om ooit een keer voor te plannen. Dit is de omgeving waarin elk hotel vanaf een bepaalde omvang nu opereert. Het antwoord moet daarop aansluiten.

Hoofdstuk 02

Zodra een aanval binnenkomt, lopen er twee klokken tegelijk. De eerste is de indammingsklok: hoe snel kunnen wij verspreiding door het netwerk stoppen. De tweede is de operatieklok: hoe houden wij het hotel ondertussen draaiend. De ene goed doen ten koste van de andere is hoe een slecht uur een slechte week wordt.

Iemand merkt dat er iets niet klopt. Dat kan een medewerker zijn die een scherm vreemd ziet doen. Het kan een monitoringmelding zijn die afgaat. Het kan een gast zijn die klaagt over een kapotte kaartlezer. In het beste geval is het een van je eigen systemen: de endpointdetectie die het versleutelingsproces betrapt voordat het klaar is, of de netwerkmonitoring die een poging tot data-exfiltratie ziet lopen.

Op het moment van die herkenning hoort het incidentresponsplan in werking te treden. Dat is een document dat maanden eerder is geschreven door mensen die niet in paniek waren. Het benoemt de incident commander (meestal de CIO of CISO). Het benoemt de escalatieroute. Het somt op wie geïnformeerd moet worden en in welke volgorde: de directie, de verzekeraar, de juridische afdeling, de toezichthouder wanneer dat vereist is, het PR-team, de medewerkers op de vloer en uiteindelijk de gasten.

Het plan hoort ook te benoemen wat er in het eerste uur níét gebeurt. Geen publieke verklaringen. Geen berichten aan gasten over wat er is gebeurd. Geen mail aan getroffen leveranciers. Eerst feiten, dan communicatie. Altijd.

Dit is het moment van het technische werk. Getroffen systemen worden geïsoleerd. De omvang van de inbraak wordt in kaart gebracht. Bestaan er back-ups, dan worden die geverifieerd. Bestaan ze niet, dan verandert de rekensom: wat kan worden herbouwd, tegen welke kosten, in welke tijd.

Tegelijk draait de operationele terugval. De receptie gaat over op check-in op papier en het handmatig uitgeven van sleutels. Kaartlezers schakelen indien mogelijk over naar standalone. De keuken print haar orders. Alles wat digitaal was, wordt weer analoog, zolang als het duurt. Hier worden de jaren van „terug naar papier kan echt niet meer” aan de werkelijkheid getoetst, en hier ontdekken de meeste hotels dat het wél kan als het moet, maar dat het pijn doet.

Dit is het moment waarop training van medewerkers zich uitbetaalt of tekortschiet. Een hotel dat dit scenario in tabletopoefeningen heeft geoefend, komt door de overgang zonder dat de gast er veel van merkt. Een hotel dat dat niet heeft gedaan, produceert de klachten die maandenlang in reviews blijven staan.

Op dit punt moeten er besluiten vallen die de dag ervoor ondenkbaar waren. Annuleren wij de aankomsten van vanavond? Roepen wij extra personeel op? Informeren wij onze zakelijke klanten nu, of wachten wij tot wij meer weten? Betalen wij het losgeld, als dat er is?

Dit zijn geen IT-besluiten alleen. Het zijn bedrijfsbesluiten met juridische en reputationele gevolgen. Ze vragen om de directie, de juridisch adviseur, de verzekeraar en vaak externe forensisch specialisten aan tafel. De rol van het IT-team is hier om de organisatie het scherpst mogelijke beeld te geven van wat er is gebeurd en wat er nog gaande is, zodat de organisatie haar keuzes maakt op basis van informatie in plaats van onderbuikgevoel.

De cruciale regel voor die hele vierentwintig uur: leg alles vast. Elk besluit, elk tijdstip, elke log. De audit erna hangt ervan af. De verzekeringsclaim ook. En de uiteindelijke toetsing door de toezichthouder onder NIS2 eveneens. De verleiding is om in de mist van een lopend incident te stoppen met noteren, omdat er echt werk te doen is. Dat is de verleiding waar je het hardst weerstand aan moet bieden.

Hoofdstuk 03

De metafoor is oud maar echt bruikbaar. Een eierschaalverdediging heeft één harde buitenlaag. Eenmaal gebarsten ligt alles daarbinnen open. Een uienverdediging heeft veel lagen, elk op zichzelf onvolmaakt, maar elk goed voor tijdwinst en voor het beperken van het bereik van een aanvaller die de buitenste laag is gepasseerd.

Decennialang werd hotelsecurity ontworpen als een eierschaal. De firewall was de muur. De VPN was de poort. Daarachter lag alles op één plat intern netwerk: PMS, backoffice, gastenwifi, IPTV en betaalsystemen, allemaal onderling bereikbaar. Dit is de architectuur die leidt tot de 89% herhaalde inbreuken. Slaagt de eerste aanval, dan kent het netwerk geen interne grenzen, waardoor herstel zonder volledige herbouw onmogelijk is. Aanvallers die één keer binnenkomen, weten precies hoe ze opnieuw binnenkomen.

Het uienmodel bouwt de omgeving opnieuw op, met interne grenzen op elk niveau. Het kent zes essentiële lagen, die meer uitleg verdienen dan een opsomming toelaat.

Gastenwifi raakt het PMS-netwerk niet. Het PMS-netwerk raakt de betaalverwerking niet. Het IPTV-netwerk staat op een eigen VLAN. De backoffice is gescheiden van de front office. Elke grens vraagt om expliciete toestemming om te passeren. Compromitteert een aanvaller de gastenwifi, dan ziet die alleen de gastenwifi. Doorstappen naar het PMS lukt niet. Dit is de laag die de meeste eierschaalomgevingen nooit hadden, en het is de securityinvestering met het hoogste rendement die een hotel van welke omvang dan ook kan doen.

Segmentatie is niet glamoureus. Het klinkt niet als een innovatie. Het is netwerkpraktijk van vijftien jaar oud die de meeste hospitalityomgevingen nog altijd niet goed hebben doorgevoerd, omdat het platte netwerk altijd goedkoper en sneller aan te leggen was. De prijs van die kortere weg is precies die 89% herhaalde inbreuken.

Multifactorauthenticatie op elk account dat iets gevoeligs raakt. Niet alleen mail en VPN, maar elke adminlogin, elke koppeling met derden, elke leveranciersverbinding. Toegang volgens least privilege: medewerkers komen alleen bij wat ze voor hun werk nodig hebben. Externe leveranciers met een login op je PMS krijgen geauditeerde toegang met wachtwoorden die aflopen, niet gedeelde wachtwoorden per mail die jarenlang blijven bestaan.

Elk account is een mogelijke ingang. Elk account vraagt om eigen hardening. In de praktijk worden juist de oude accounts vergeten: een leverancier die het PMS in twee jaar niet heeft aangeraakt maar nog steeds een login heeft, een oud-medewerker van wie het account nooit is uitgezet, een serviceaccount met adminrechten dat ooit voor één koppeling is aangemaakt en nooit is opgeruimd. Het doorlichten van die accounts is weinig glamoureus werk. Het is ook de plek waar de hoogste concentratie onbeheerd risico zit.

Op elke laptop, elke server en elke kassaterminal draait actieve detectie. Niet alleen antivirussignatures, die de aanvallen van gisteren vangen. Gedragsanalyse die afwijkende patronen in real time herkent: een proces dat plots bestanden begint te versleutelen, een account dat binnen een uur vanuit drie landen inlogt, een uitvoerbaar bestand dat per mail binnenkwam en nu naar systeemmappen schrijft.

Dit is de laag die ransomware in de versleutelingsfase betrapt, voordat het hele bestandssysteem op slot zit. Het verschil tussen „de endpointdetectie ving het om 03:47 uur op” en „wij zagen de losgeldbrief om 09:15 uur” is vaak het verschil tussen een incident van twee uur en een herbouw van twee weken.

Back-ups die regelmatig worden getest, onveranderlijk zijn (een aanvaller kan ze niet wijzigen of verwijderen) en gescheiden staan van de productieomgeving, zodat een gecompromitteerd netwerk niet ook de back-ups meeneemt. Het verschil tussen „wij zijn de data van gisteren kwijt” en „wij zijn de data van de laatste drie maanden kwijt” is of back-ups onderdeel waren van de securityarchitectuur of een operationele bijzaak.

Moderne ransomware richt zich gericht op back-upsystemen, omdat aanvallers weten dat een werkende back-up de losgeldeis zinloos maakt. De verdediging moet ze dus gericht beschermen. Dat betekent onveranderlijke opslag, air-gapped kopieën voor kritieke data en regelmatige hersteltests die echt aantonen dat de back-up bruikbaar is, niet alleen aanwezig.

Er kijkt altijd iets mee, en het weet hoe normaal eruitziet in je specifieke omgeving. Meldingen worden getrieerd voordat ze bij de operatie belanden, zodat die niet wordt overspoeld met loze meldingen die men uiteindelijk gaat negeren. Dit is de laag die „wij zagen de inbreuk drie maanden later” scheidt van „wij hadden het binnen twintig minuten ingedamd”.

Statistisch scheelt dat in kosten ruwweg een factor tien. De meeste hotels kunnen een eigen securityteam dat 24/7 paraat staat niet verantwoorden. Wat de meeste hotels wél kunnen verantwoorden, is managed detection and response als dienst van een partner die zo’n team voor veel klanten tegelijk draait. Dat is een van de sterkste argumenten voor het managed servicesmodel, juist op security.

Opgeschreven. Geoefend. Bijgewerkt na elke oefening. De laag die op de slechtste dag paniek omzet in procedure. Dit is ook de laag waar NIS2-auditors als eerste naar vragen. Een plan dat als pdf bestaat maar nooit hardop is doorgenomen door de incident commander, is geen plan. Het is een compliancestuk. Onder NIS2 wordt dat verschil gemeten.

Hoofdstuk 04

Techniek stopt pogingen. Getrainde mensen stoppen de pogingen die de techniek mist. Samen bepalen ze het securityniveau van een organisatie. Afzonderlijk is geen van beide genoeg.

In 2025 gaf 48% van de IT- en securityverantwoordelijken in hotels aan weinig vertrouwen te hebben in het vermogen van hun medewerkers om AI-gedreven dreigingen te herkennen, zoals deepfake-telefoontjes en sterk gepersonaliseerde phishing.^[1] Dat is geen trainingsachterstand. Het is een achterstand in het trainingsmodel. De dreigingen ontwikkelden zich. De meeste trainingsprogramma’s niet. Een phishingsimulatie uit 2019 bereidt een receptiemedewerker niet voor op een synthetisch telefoontje van iemand die zich met gekloonde audio voordoet als de general manager, om twee uur ’s nachts.

Werkende programma’s delen drie kenmerken.

Het traditionele model van securitytraining was één webinar per jaar, verplicht, en meestal genegeerd. Het moderne model loopt door: micromodules van vijf tot tien minuten, maandelijks verspreid, met elk kwartaal een verdieping op een specifiek onderwerp en jaarlijks tabletopoefeningen voor de directie. Twintig minuten per maand wint van twee uur per jaar, elk jaar. Het eerste bouwt patroonherkenning op. Het tweede bouwt weerzin op.

Phishingtests met actuele tactieken: door AI gegenereerde mails, nagebootste stemmen, valse leveranciersverzoeken op basis van openbare informatie over het hotel. Het doel van een phishingsimulatie is niet om medewerkers die klikken te schande te zetten. Het doel is de vooruitgang over tijd te meten en teams op de vloer routine te geven voor de aanvallen die zij ooit echt gaan zien. Een simulatie die nooit iemand vangt, test niets. Een simulatie die altijd dezelfde mensen vangt, is een ontwerpprobleem van de training, geen personeelsprobleem.

Medewerkers die straf vrezen als ze toegeven op een verdachte link te hebben geklikt, verzwijgen die klik. Dat is de slechtst denkbare uitkomst, want het verhindert vroege indamming. Medewerkers die weten dat vroeg melden juist wordt gewaardeerd, melden alles. Het cultuurwerk dat nodig is om dat tweede gedrag te krijgen, is meer waard dan welk technisch middel ook.

In een goed geleid hotel is het onderscheppen van één phishingpoging een verhaal voor de dagstart. Degene die het zag, krijgt publiekelijk erkenning. De bijna-misser wordt lesmateriaal voor de rest. Dit is de cultuur die het securityniveau van een hele organisatie optilt zonder extra investering in techniek. Het is ook de cultuur die het lastigst op te bouwen is, want het management moet echt menen wat het zegt over het niet bestraffen van fouten die te goeder trouw zijn gemaakt.

Hoofdstuk 05

Elk hotel dat wij door een ernstig incident hebben geholpen, zegt achteraf hetzelfde: de omgeving die zij nu draaien, lijkt in niets op de omgeving waarin zij werden getroffen. Niet omdat zij geld tegen het probleem aan hebben gegooid. Wel omdat het incident hun het mandaat gaf om te repareren waarvan zij al wisten dat het niet deugde.

Segmentatieprojecten die twee jaar op de roadmap stonden, waren binnen twee weken klaar. Multifactorauthenticatie waar IT al om vroeg, werd op de tweede dag door de directie goedgekeurd. Responsplannen die nooit waren geoefend, werden kwartaaloefeningen. Leverancierstoegang die zich door de jaren had opgestapeld, werd doorgelicht en teruggebracht tot wat werkelijk nodig was. Met andere woorden: de inbreuk werd de aanleiding voor de transformatie die ook zonder inbreuk had moeten plaatsvinden.

Daarom begint onze dienst Secure360 met dezelfde vraag, of een hotel nu is getroffen of niet: wat kan je omgeving overleven? De hotels die eerlijk antwoorden, bouwen de uienarchitectuur op hun eigen tempo, binnen hun eigen budget, zonder de druk van een lopend incident. De hotels die het antwoord tijdens een echte inbreuk ontdekken, bouwen dezelfde architectuur onder druk van de toezichthouder, met gasten die meekijken en een bestuur in paniek. Beide komen op dezelfde plek uit. Slechts één van beide moet de vertraging uitleggen aan een raad van bestuur, een verzekeraar, een zaal vol bezorgde gasten en uiteindelijk aan een toezichthouder.

NIS2 heeft de optie „het probleem tijdens de inbreuk ontdekken” aanzienlijk duurder gemaakt. Persoonlijke aansprakelijkheid op bestuursniveau. Vastgelegde security op elke laag. Bewijs van doorlopende training. Dit zijn geen concurrentievoordelen meer. Dit is de basislijn. De hotels die dit vóór de audit hebben verinnerlijkt, draaien nu volwassen architecturen. De rest bouwt dezelfde architecturen in de komende twee tot drie jaar, onder druk van de toezichthouder. Het werk is hetzelfde. Het verhaal eromheen verandert aanzienlijk.