Kort gezegd: Is uw hotelwebsite gehackt, dan gaat het minder om de startpagina dan om alles wat eraan vastzit: de ingesloten boekingsmotor, de cadeaubonshop, aanvraagformulieren voor feesten en vergaderingen. Controleer patchstatus en insluitingen, zet logs veilig en waarschuw gasten zakelijk als hun gegevens getroffen kunnen zijn.
Welke PHP-systemen in hotels en horeca draaien
De website van een hotel of restaurant draait meestal op WordPress of een ander PHP-CMS. De boekingsmotor komt vaak van de aanbieder van de hotelsoftware of een channelmanager en wordt via een script of iframe ingesloten. Daarnaast draaien op de eigen server vaak een cadeaubonshop op basis van WooCommerce, formulieren voor vergader- en huwelijksaanvragen, tafelreserveringen, nieuwsbriefaanmeldingen en vacatures voor het seizoen.
Juist de mix van eigen en vreemde bouwstenen maakt de horeca kwetsbaar: de eigen server hoeft de boekingsgegevens niet te bevatten om gasten in gevaar te brengen. Het volstaat dat hij bepaalt waarheen de boekknop leidt.
Welke gastgegevens op het spel staan
Via hotelwebsites lopen namen, adressen, telefoonnummers, reisgegevens en reisgezelschap. Aanvragen bevatten vaak bijzondere wensen zoals allergieën, toegankelijkheid of dieetvoorschriften. Zulke gezondheidsgegevens horen tot de bijzondere categorieën volgens art. 9 AVG. In de cadeaubonshop komen bestel- en factuurgegevens erbij.
Kaartgegevens staan doorgaans bij de betaaldienstverlener of in de hotelsoftware, niet op de website. Maar wie JavaScript op de eigen pagina kan wijzigen, kan ook invoer in formulieren meelezen of gasten naar een bedrieglijk echte betaalpagina sturen.
Vergader- en eventaanvragen komen vaak van bedrijven en bevatten deelnemerslijsten, programma's en budgetten. Huwelijksaanvragen noemen data, aantallen gasten en familienamen. Zulke informatie wordt zelden als gevoelig ervaren, maar is waardevol voor gerichte fraudepogingen, bijvoorbeeld een valse factuur voor een aanbetaling vlak voor het evenement. Controleer daarom of aanvragen blijvend in de websitedatabase staan en of dat nodig is.
Hotelwebsite gehackt: typische gevolgen voor de bedrijfsvoering
- Valse boekings- en betaalpagina's: Gasten betalen aan oplichters en maken het hotel daarvoor verantwoordelijk.
- Gerichte fraudeberichten: Met echte reisgegevens lijken valse betalingsverzoeken geloofwaardig.
- Verlies van directe boekingen: Een Google-waarschuwing of storing drijft gasten naar boekingsportalen, waarvoor u commissie betaalt.
- Beoordelingen: Gasten die zijn opgelicht, beschrijven dat openbaar, ongeacht waar de fout lag.
Controleer na een patch ook of de insluiting van uw boekingsmotor nog naar het juiste adres verwijst. Een gewijzigd script of een omgeleide link valt in het dagelijks gebruik nauwelijks op.
Wie is verantwoordelijk: bureau, softwareaanbieder, hostingprovider?
| Bouwsteen | Doorgaans verantwoordelijk | Open vraag |
|---|---|---|
| Hotelwebsite en cadeaubonshop | Bureau en hostingprovider | PHP-patch en herstart bevestigd? |
| Boekingsmotor | Aanbieder van de hotelsoftware | Is de insluiting ongewijzigd? |
| Hotelsoftware in het pand | Softwareaanbieder of IT-beheerder | Verbindingen met de website? |
| Mailboxen van de receptie | Hostingprovider of IT-beheerder | Onbekende doorsturingen? |
Bij hotelgroepen en franchisebedrijven komen centrale voorschriften erbij. Vaak beheert het hoofdkantoor de hoofdsite, terwijl afzonderlijke huizen eigen cadeaubon- of eventpagina's onderhouden die centraal niemand overziet.
Seizoenskrachten, gedeelde toegangen en cadeaubonnen
In de horeca wisselen teams vaak. Toegangen tot de website, de cadeaubonshop en boekingsplatforms worden aan de receptie gedeeld en zelden gewijzigd als iemand vertrekt. Na een incident moeten al die toegangen worden vernieuwd en waar mogelijk worden omgezet naar persoonlijke accounts.
Een onderschat risico zijn cadeaubonnen. Wie toegang heeft tot de shopdatabase, kan bonnen uitlezen, waarden wijzigen of eigen codes aanmaken die aan de receptie worden verzilverd. Laat na een opschoning controleren of er bonnen zijn aangemaakt of gewijzigd die aan geen enkele bestelling zijn toe te schrijven. Een vergelijking met uw boekhouding laat zulke bijzonderheden meestal snel zien.
De eerste uren na een waarschuwing
- Laat de hostingprovider schriftelijk bevestigen dat PHP op 8.5.12, 8.4.27, 8.3.36 of 8.2.35 staat of is gepatcht en dat alle processen zijn herstart.
- Zonder bevestiging: vervang de website door een informatiepagina met telefoonnummer en directe link naar de boekingsmotor van de aanbieder.
- Zet logs vanaf 20 oktober 2026 veilig en controleer de insluitingen van boekingsmotor en betaalpagina's.
- Informeer het receptieteam, zodat het verdachte vragen van gasten herkent en vastlegt.
- Waarschuw gasten zakelijk bij aanwijzingen voor fraude. Formuleringshulp biedt de pagina over crisiscommunicatie.
Hoe helpt PHP SOS concreet?
- Wij controleren patchstatus, herstart en uitvoeringsmodus van uw webserver en stemmen af met bureau en hostingprovider.
- Wij controleren website, cadeaubonshop en insluitingen op gewijzigd JavaScript, vreemde doorverwijzingen en webshells en verwijderen schadelijke code.
- Wij controleren of mailboxen doorstuurregels hebben gekregen die u niet kent.
- Daarna richten wij op verzoek security-monitoring in, die wijzigingen aan bestanden en scripts meldt.
Veelgestelde vragen
Wordt mijn boekingsmotor getroffen door PHP2Shell?
Veel boekingsmotoren worden door de aanbieder beheerd en alleen in de hotelwebsite ingesloten. Dan is de aanbieder verantwoordelijk voor zijn server. Uw eigen website blijft toch een risico, omdat een aanvaller daar de insluiting kan wijzigen of kan omleiden naar een valse boekingspagina.
Gasten kregen vreemde betalingsverzoeken. Hangt dat met de website samen?
Mogelijk, maar het is pas na een controle aan te tonen. Zulke berichten kunnen ook via boekingsplatforms of gecompromitteerde mailboxen ontstaan. Bewaar de berichten, waarschuw getroffen gasten en laat website, mailboxen en platformtoegangen controleren.
Mag ik de website in het hoogseizoen uitschakelen?
Als PHP niet aantoonbaar is gepatcht, adviseert het BSI (de Duitse federale dienst voor informatiebeveiliging) webservers tijdelijk van het netwerk te halen. Een informatiepagina met telefoonnummer en directe link naar de boekingsmotor van de aanbieder houdt de bedrijfsvoering gaande. Een ongemerkt gecompromitteerde website kost in het seizoen meer vertrouwen dan enkele uren onderhoud.