Gestolen boekingsgegevens: valse WhatsApp-berichten bedreigen skigasten in Tirol
Mathon in het Paznaun, onderdeel van Ischgl, in januari 2016. Foto: KrauS via Wikimedia Commons, CC BY 3.0
Rond de 1.700 accommodatiebedrijven in minstens vier toeristische regio's in Tirol zijn mogelijk getroffen door de diefstal van boekingsgegevens, onder meer in Ischgl, Serfaus, Seefeld en Stubai. Gasten met een wintervakantie krijgen nu valse WhatsApp-berichten die op hun hotel lijken. Daarin staan de echte data en het boekingsnummer, en via een link wordt om kaartgegevens gevraagd.
Kort samengevat
- Boekingsgegevens zijn volgens Feratel gedownload tussen 23.00 uur op 25 oktober en 01.15 uur op 26 oktober 2026.
- De gegevens bevatten naam, adres, telefoonnummer, e-mailadres, reisdata, het geboekte verblijf, de prijs en de betalingsstatus.
- Er zijn volgens Feratel geen kaart- of bankgegevens buitgemaakt.
- In Tirol zijn mogelijk zo'n 1.700 bedrijven getroffen; in Salzburg 97 hotels; in Stiermarken alle toeristenbureaus.
- Een echte boeking hoeft nooit opnieuw te worden "gevalideerd" via een WhatsApp-link.
Wat er gebeurde
Feratel, een bedrijf uit Innsbruck, beheert het boekingssysteem Deskline dat veel Oostenrijkse toeristenbureaus gebruiken. In een verklaring aan zijn partners, volledig gepubliceerd door Borns IT-Blog, zegt het bedrijf dat er niet is ingebroken in de eigen systemen. Een aanvaller kwam via een systeem van een derde aan de Deskline-inloggegevens van een koppelingspartner en gebruikte die om boekingen te downloaden.
"De opgehaalde boekingsgegevens omvatten naam, adres, telefoonnummer, e-mailadres, reisdata, geboekt verblijf, reissom en betalingsstatus", staat in de verklaring van Feratel. Het gaat om boekingen met een aankomstdatum in de toekomst, gemaakt via geselecteerde verkoopkanalen. Feratel blokkeerde de toegang en wijzigde de inloggegevens.
De Tiroolse politie meldde op vrijdag 30 oktober 2026 dat onbekenden zijn binnengedrongen in de webapplicatie van een softwarebedrijf in het district Schwaz. De toegang liep van 17 tot en met 28 oktober 2026. De politie noemde het bedrijf niet. Op 2 november 2026 hebben noch de politie noch Feratel gezegd dat het om dezelfde zaak gaat.
| Datum | Stap |
|---|---|
| 17–28 oktober 2026 | Onbevoegde toegang tot een boekingsapplicatie van een bedrijf in het district Schwaz (politie) |
| 25–26 oktober 2026 | Boekingsgegevens gedownload, 23.00 tot 01.15 uur (Feratel) |
| 27–28 oktober 2026 | Eerste gasten melden valse WhatsApp-berichten en e-mails |
| 30 oktober 2026 | Tiroolse politie meldt de zaak |
| 31 oktober 2026 | Feratel bevestigt het incident aan ORF |
Welke regio's zijn getroffen
In Tirol noemde Feratel de toeristenbureaus van Stubai, Serfaus, Seefeld en Ischgl, meldde ORF Tirol. Daar zijn mogelijk ongeveer 1.700 bedrijven getroffen. Op grond van de terugmeldingen van de toeristenbureaus verwacht Feratel dat ongeveer een derde ervan is geraakt: de bedrijven met toekomstige boekingen.
| Regio | Getroffen, zoals gemeld |
|---|---|
| Tirol | minstens 4 toeristenbureaus, mogelijk ongeveer 1.700 bedrijven |
| Salzburg | 97 hotelbedrijven in 11 toeristenbureaus |
| Stiermarken | alle toeristenbureaus, ongeveer 3.000 gasten |
| Opper-Oostenrijk, Vorarlberg, Burgenland | geen incidenten gemeld |
De cijfers voor Salzburg komen van ORF Salzburg. Het Stierse cijfer van 3.000 gasten komt van de Kleine Zeitung, zoals gemeld door oe24. De Tiroler Tageszeitung schreef op 28 oktober 2026 over tienduizenden gegevensrecords in Tirol.
"Een groot deel van de boekingen die in de toekomst liggen, is getroffen", zei Klaus Gleirscher, directeur van het toeristenbureau van Stubai, tegen ORF Tirol. Hoe ver in de toekomst, weet het bureau niet.
Zo werken de valse berichten
De oplichters schrijven als het geboekte hotel of appartement. In de waarschuwing van de toeristenbureaus, die Borns IT-Blog ook afdrukt, staat dat gasten wordt gevraagd de boeking via een link te bevestigen, persoonlijke gegevens in te voeren of kaartgegevens achter te laten. Het bericht bevat de echte hotelnaam, data en het boekingsnummer, waardoor het er correct uitziet.
Een Nederlandse gast kreeg op de avond van dinsdag 27 oktober 2026 zo'n WhatsApp-bericht, meldde skiinformatie.nl. Hij werd gevraagd de boeking binnen 24 uur te "valideren". Binnen een half uur voerde hij zijn kaartgegevens in. "Het zag er gewoon goed uit", zei hij tegen de site. Vrienden waarschuwden hem en hij blokkeerde zijn kaart op tijd.
Wie onderzoekt de zaak
Meldingen gingen naar de Oostenrijkse gegevensbeschermingsautoriteit, schreef ORF Tirol. Er is aangifte gedaan bij de politie en Feratel werkt samen met externe forensische deskundigen. Hoeveel gasten en hotels zijn getroffen, zal "heel moeilijk vast te stellen zijn", zei een woordvoerder van de politie tegen persbureau APA, zoals gemeld door de Salzburger Nachrichten. Op 2 november 2026 is de totale schade niet bekend.
Voordat je je ski's inpakt
Een skireis begint met de boeking, dus controleer die eerst:
- Open geen links in berichten over je boeking. Een echte boeking hoeft niet opnieuw te worden gevalideerd.
- Bel je hotel alleen op het nummer uit je oorspronkelijke bevestiging of van de officiële website.
- Geef nooit kaart- of bankgegevens door via een link in WhatsApp, sms of e-mail.
- Heb je kaartgegevens ingevoerd, bel dan direct je bank om de kaart te blokkeren en doe aangifte bij de politie.
Is de boeking veilig, dan zijn de ski's aan de beurt. De Pick-A-Ski-selector vergelijkt de ski's van dit seizoen op basis van je niveau, terrein en maat. Voor een week geprepareerde pistes en wat off-piste in plaatsen als Ischgl of Serfaus begin je met onze top 5 all-mountainski's.
