Waarom deze accommodatie bijna gehackt werd en wat ze ervan leerden

Zondagmorgen, half negen. De nachtdienst heeft het kassasysteem afgesloten. Op de router-logs staat een rij mislukte inlogpogingen die om drie uur 's nachts begon. Niemand heeft het gezien.

Dit is geen verhaal over een grote hotelketen of een geavanceerde aanval. Het is een patroon dat bij tientallen accommodaties in Nederland terugkomt. Kleine kwetsbaarheden, verouderde instellingen en een gebrek aan monitoring maken het aanvallers makkelijker dan het zou moeten zijn.

Wat een bijna-hack concreet inhoudt

Een bijna-hack klinkt abstract. In de praktijk gaat het om één of meer aanvalspogingen die nét op tijd worden gestopt — of die je achteraf ontdekt in de logs.

Eén aanvaller probeert in te loggen op de beheerinterface van een router via een standaardwachtwoord dat nooit is gewijzigd. Een ander probeert via het gastnetwerk verder het interne netwerk in te komen. Weer een ander stuurt een e-mail die als nep-factuur is vermomd en inloggegevens probeert te stelen.

Geen van die pogingen is bijzonder gesofisticeerd. Maar ze slagen regelmatig omdat de basisbeveiliging niet op orde is. En als één poging slaagt — ook gedeeltelijk — heb je een probleem.

Camera's die alles zien maar niets vastleggen

Laten we beginnen bij de fysieke beveiliging. Veel accommodaties hebben camera's hangen. Maar de vraag is niet of er camera's hangen — de vraag is of die camera's bruikbare beelden leveren als er iets gebeurt.

Een bewakingscamera op de parkeerplaats die na drie maanden nooit is schoongemaakt, een lens die de verkeerde kant op staat na een verbouwing, beelden die in lage resolutie worden opgeslagen en na zeven dagen automatisch worden overschreven — dat zijn geen uitzonderingen. Dat is de realiteit bij een groot deel van de accommodaties die denken goed beveiligd te zijn.

Als er een incident is — een inbraak in een accommodatie, een beschadiging op het terrein, een discussie met een gast over iets wat er al dan niet is gezegd aan de balie — zijn bruikbare camerabeelden goud waard. Onbruikbare beelden zijn erger dan geen beelden, want ze geven een vals gevoel van veiligheid.

Een goed camerasysteem voor een verblijfsaccommodatie voldoet aan een aantal basisvereisten. HD of 4K resolutie zodat gezichten en kentekens herkenbaar zijn. Voldoende opslag — minimaal veertien dagen, liefst langer afhankelijk van het type locatie. Correcte positionering op inkomstpunten, parkeerplaatsen, receptieruimte en opslaglocaties. Nachtbeelden die ook echt bruikbaar zijn. En toegang tot de beelden via een beveiligde verbinding, zodat je ook op afstand kunt meekijken bij een melding.

Dat laatste punt is meteen ook de koppeling met cybersecurity: als je camerasysteem bereikbaar is via het internet maar niet goed is beveiligd, is het een ingang voor aanvallers. Camera's die op hetzelfde netwerksegment draaien als je gastnetwerk zijn een directe zwakke plek.

Hoe een aanval stap voor stap werkt

Je hoeft niet te begrijpen hoe alle aanvalstechnieken werken. Maar het helpt om het basispatroon te kennen, zodat je de signalen herkent.

De eerste stap is altijd verkenning. Geautomatiseerde software scant continu het internet op apparaten met standaardinstellingen — routers, camera's, access points, printers. Als jouw router nog het fabriekswachtwoord heeft, staat hij in die database. Niet als doelwit, maar als kans.

De tweede stap is toegang. Dat kan via een standaardwachtwoord op een beheerinterface, via een phishingmail die inloggegevens steelt, of via een kwetsbaarheid in software die al maanden niet is bijgewerkt. In de casus die aan dit artikel ten grondslag ligt, combineerde de aanvaller twee methodes: eerst een phishingmail aan de receptie, dan een poging om via het gastnetwerk verder het interne netwerk in te gaan.

De derde stap is verplaatsing. Als gast- en bedrijfsnetwerk niet goed zijn gescheiden, kan een aanvaller die eenmaal op het gastnetwerk zit proberen systemen te bereiken die daar niet horen te zijn — je PMS, je betaalomgeving, je NVR (de recorder waarop camerabeelden worden opgeslagen).

De vierde stap had data-exfiltratie of ransomware kunnen zijn. Dat bleef in dit geval uit omdat de betaalomgeving op een apart netwerksegment zat en de aanvaller werd geblokkeerd.

Wat dit aantoont: netwerksegmentatie werkt. Het is de reden dat de schade beperkt bleef.

Signalen die je niet mag missen

Aanvallen kondigen zich zelden aan met een grote melding. Ze beginnen met kleine afwijkingen die je makkelijk kunt afdoen als een technisch mankementje.

Een router die zichzelf opnieuw opstart terwijl er niets is gewijzigd. Terminals die trager zijn dan normaal tijdens piekuren — niet langzamer door overbelasting, maar trager op een manier die niet klopt bij het gebruik. Camera's die kortstondig offline gaan. Gasten die melden dat ze op hun kamer een netwerknaam zien die ze niet kennen. Log-bestanden die vreemde inlogpogingen tonen op tijden waarop niemand werkt.

Dit zijn geen bewijs van een aanval, maar het zijn rode vlaggen. Als meerdere van deze signalen tegelijkertijd optreden, moet je handelen. Ontkoppel het verdachte netwerksegment, bel je IT-partner en begin met het vastleggen van wat je ziet.

In de besproken casus werd dit precies goed gedaan. De manager nam de beslissing om tijdelijk het gastnetwerk uit te schakelen. Dat zorgde voor ongemak bij gasten — maar het voorkwam dat de aanvaller verder kon bewegen.

Wat je vandaag kunt verbeteren

Goede beveiliging hoeft niet te beginnen met een grote investering. Het begint met het aanpakken van de meest voorkomende basisfouten.

Controleer alle wachtwoorden op beheerinterfaces. Routers, switches, cameras, toegangscontrole, WiFi-beheerpanelen — als er nog standaardwachtwoorden op staan, verander ze vandaag. Gebruik unieke, sterke wachtwoorden en sla ze veilig op.

Controleer of je gast- en bedrijfsnetwerk echt gescheiden zijn. Niet alleen in naam — ook technisch, via aparte VLAN's (virtuele netwerken die op dezelfde hardware draaien maar logisch van elkaar zijn afgeschermd) en firewallregels. Laat dit controleren door iemand die het technisch kan beoordelen, niet door de leverancier die het netwerk heeft aangelegd.

Controleer of je camerasysteem op een gescheiden netwerksegment staat. Camera's horen niet op hetzelfde segment als het gastnetwerk of als je interne administratie. Ze horen op een afgeschermd segment met beperkte toegang.

Schakel automatische updates in voor routers, access points en servers. Verouderde software is de meest voorkomende reden waarom bekende aanvalsmethodes nog steeds werken. Een bekend lek dat negen maanden geleden is gedicht, is alleen een probleem als jij de update niet hebt gedraaid.

Zorg dat er iemand is die buiten kantooruren bereikbaar is bij een incident. Aanvallen vinden zelden plaats op dinsdagmiddag om twee uur. Ze vinden plaats op vrijdagavond, zaterdag en in de vroege ochtend.

Je team is je eerste verdedigingslinie

Technische maatregelen helpen niet als je team de signalen niet herkent. In hospitality werkt iedereen onder tijdsdruk — bij een volle lobby controleert niemand rustig een e-mailadres.

Aanvallers weten dat. Phishing — het sturen van nep-e-mails die eruitzien als berichten van bekende leveranciers — is de meest gebruikte eerste stap bij aanvallen op accommodaties. Een nep-factuur van een linnengroothandel. Een zogenaamd bericht van een boekingsplatform met een link naar een bijlage. Een telefoontje van "IT-support" dat om een verificatiecode vraagt.

Eén simpele regel vermindert het risico al significant: bij twijfel niet klikken, maar melden. Niet nagaan of de e-mail echt is — gewoon melden bij de verantwoordelijke en wachten op bevestiging.

Train je team twee keer per jaar, maar hou het kort en praktisch. Geen IT-theorie — concrete situaties. Hoe ziet een phishingmail eruit? Wat doe je als de terminal ineens foutmeldingen geeft? Wie bel je als er iets niet klopt?

Maak het melden laagdrempelig. Een medewerker die uit angst voor verwijt een verdachte e-mail niet meldt, kost je meer dan een medewerker die iets meldt dat uiteindelijk niets blijkt te zijn.

Proactief beheer als fundament

Dit alles vraagt om structureel beheer — niet om eenmalige actie. Een netwerk dat één keer goed is ingericht en daarna nooit meer wordt bekeken, raakt langzaam in verval. Firmware veroudert. Accounts van oud-medewerkers blijven actief. Nieuwe apparaten worden aangesloten zonder dat iemand controleert of ze op het goede segment terechtkomen.

Managed IT voor hospitality betekent dat iemand proactief meekijkt. Afwijkend netwerkverkeer wordt gesignaleerd. Updates worden gepland buiten piekmomenten. Bij een incident is er iemand bereikbaar die jouw omgeving kent — niet een anoniem callcenter dat eerst jouw configuratie moet opvragen.

Beveiliging is geen eenmalige investering. Het is doorlopend werk. En het betaalt zich terug — niet alleen in het voorkomen van schade, maar ook in het vertrouwen van je gasten en de rust van je team.

Technologie in hospitality moet onzichtbaar werken. Als gasten het merken, is het te laat.