Op 21 oktober 2026 maakte de Europese Commissie bekend een formeel onderzoek te starten naar Booking.com. De toezichthouder onderzoekt of het Amsterdamse reisplatform voldoende maatregelen neemt tegen fraude, phishing en misleidende accommodatieadvertenties
Ook kijkt de Commissie naar de bescherming van reserveringsgegevens en de herkenbaarheid van betaalde zoekresultaten. De Nederlandse Autoriteit Consument & Markt bevestigde op 22 oktober dat zij aan het Europese onderzoek meewerkt.
De ontwikkeling raakt aan een vraagstuk dat veel verder gaat dan digitale beveiliging. Booking.com verbindt miljoenen reizigers met accommodatieaanbieders en is voor zijn dienstverlening afhankelijk van een uitgebreid netwerk van externe partijen. Juist die samenwerking maakt het platform aantrekkelijk, maar creëert ook risico’s die niet binnen één afdeling kunnen worden opgelost. Daarmee wordt fraudebestrijding een belangrijk onderwerp voor organisatieverbetering, governance en de verdeling van verantwoordelijkheden.
Een groeiend probleem met concrete gevolgen voor reizigers
De aanleiding voor het Europese onderzoek is de toenemende aandacht voor fraude via online reisplatforms. De Europese Commissie richt zich op drie onderdelen: frauduleuze accommodaties, phishing met reserveringsgegevens en onvoldoende herkenbare betaalde advertenties. Daarbij onderzoekt zij of Booking.com deze risico’s zorgvuldig beoordeelt en voldoende maatregelen neemt om ze te beperken.
De beschikbare Nederlandse cijfers laten zien waarom dit onderwerp aandacht verdient. Volgens de Consumentenbond ontving de Fraudehelpdesk in 2025 ongeveer 200 meldingen van oplichting rond boekingen via Booking.com. De gemelde financiële schade bedroeg meer dan €65.000. In 2024 ging het nog om 89 meldingen, met een gezamenlijke schade van ongeveer €25.000.
Deze cijfers geven geen volledig beeld van alle fraudegevallen. Niet iedere gedupeerde doet melding en de registratie laat niet zien hoeveel transacties zonder problemen verlopen. Toch maken de cijfers duidelijk dat de gemelde schade en het aantal meldingen zijn toegenomen. Dat vormt een relevante aanleiding om de bestaande beveiliging en samenwerking kritisch te beoordelen.
Ook onderzoek van Booking.com zelf onderstreept hoe moeilijk online fraude te herkennen is. In september 2026 publiceerde het bedrijf de resultaten van een onderzoek onder 1.137 Nederlandse volwassenen die recent online een reis hadden geboekt. Tijdens een herkenningstest beoordeelde 48% van de deelnemers die een frauduleuze hotelpagina te zien kregen deze als echt. Van deze groep gaf 65% aan dat de professionele vormgeving hun oordeel sterk had beïnvloed.
Dat laatste is organisatorisch interessant. Veel beveiligingsmaatregelen gaan ervan uit dat gebruikers verdachte berichten kunnen herkennen. Maar wanneer frauduleuze communicatie steeds overtuigender wordt, verschuift de verantwoordelijkheid gedeeltelijk naar de inrichting van het platform. De organisatie moet dan niet alleen waarschuwen voor risico’s, maar ook onderzoeken hoe zij frauduleuze handelingen eerder kan voorkomen.
De opvallende observatie: fraude ontstaat vaak tussen verschillende organisaties
Het meest interessante onderdeel van deze ontwikkeling is de plaats waar bepaalde frauderisico’s ontstaan. Booking.com beheert het digitale platform, maar accommodaties verzorgen een belangrijk deel van de dienstverlening. Hotels en andere aanbieders gebruiken eigen systemen, medewerkers en toegangsgegevens om reserveringen te beheren. Daardoor is de veiligheid van het totale boekingsproces afhankelijk van meerdere organisaties.
De Consumentenbond beschreef eerder hoe criminelen soms toegang krijgen tot accounts van accommodaties. Vervolgens gebruiken zij echte reserveringsgegevens om reizigers overtuigende betalingsverzoeken te sturen. Een bericht kan bijvoorbeeld verwijzen naar de juiste aankomstdatum en de naam van het geboekte hotel. Daardoor lijkt de communicatie betrouwbaar, terwijl de betaling naar een frauduleuze omgeving leidt.
Dit voorbeeld laat zien waarom digitale veiligheid niet uitsluitend een technisch vraagstuk is. Het risico kan ontstaan bij een accommodatie, zichtbaar worden binnen het berichtenverkeer en uiteindelijk gevolgen hebben voor de reiziger. Verschillende partijen spelen dus een rol binnen dezelfde gebeurtenis. Toch verwacht de klant dat het volledige proces betrouwbaar functioneert.
Daarmee ontstaat een herkenbare uitdaging voor platformorganisaties. Zij zijn afhankelijk van externe partners, maar hebben niet altijd directe zeggenschap over hun dagelijkse werkzaamheden. Een hotel kan bijvoorbeeld verantwoordelijk zijn voor de beveiliging van zijn eigen accounts. Tegelijk moet Booking.com beoordelen welke risico’s deze afhankelijkheid veroorzaakt voor gebruikers van het platform.
De opvallende observatie is daarom dat de kwaliteit van de dienstverlening niet uitsluitend afhangt van de prestaties van afzonderlijke organisaties. Zij hangt vooral af van de manier waarop deze organisaties gezamenlijk risico’s beheersen. Juist op de grenzen tussen systemen, processen en verantwoordelijkheden kunnen problemen ontstaan.
Het organisatievraagstuk: wie is verantwoordelijk voor de volledige klantreis?
Hier ontstaat de belangrijkste organisatorische spanning. Booking.com heeft verschillende teams voor productontwikkeling, informatiebeveiliging, partnerondersteuning, klantenservice en naleving van regelgeving. Ieder team heeft eigen verantwoordelijkheden en prestatie-indicatoren. Maar fraude houdt zich niet aan deze organisatorische indeling.
Een beveiligingsteam kan bijvoorbeeld verdachte accountactiviteiten signaleren. Het partnerteam onderhoudt ondertussen de relatie met de betrokken accommodatie, terwijl de klantenservice vragen ontvangt van reizigers. Wanneer deze afdelingen onvoldoende samenwerken, kan belangrijke informatie verloren gaan. Daardoor duurt het mogelijk langer voordat de organisatie een patroon herkent en passende maatregelen neemt.
Ook kunnen tegenstrijdige prioriteiten ontstaan. Een commercieel team wil nieuwe accommodaties snel aansluiten en bestaande partners zo goed mogelijk ondersteunen. Een beveiligingsteam kan juist aanvullende controles noodzakelijk vinden. Beide doelstellingen zijn begrijpelijk, maar vragen om gezamenlijke besluitvorming wanneer zij elkaar beïnvloeden.
Daarbij hoort een belangrijke nuance. De Europese Commissie heeft een onderzoek geopend en nog geen definitieve overtreding vastgesteld. Booking.com heeft aangegeven constructief mee te werken en benadrukt dat veiligheid en fraudepreventie belangrijke prioriteiten zijn. Het bedrijf gebruikt onder meer tweefactorauthenticatie voor accommodatiepartners en aanvullende beveiligingsmaatregelen voor gebruikers.
Het onderzoek bewijst dus niet dat de bestaande organisatie onvoldoende functioneert. Wel maakt het duidelijk welke risico’s toezichthouders nader willen beoordelen. Ook laat het zien waarom grote platformbedrijven hun verantwoordelijkheden voortdurend moeten aanpassen aan veranderende vormen van fraude.
De centrale gedachte is dat duurzame organisatieverbetering ontstaat wanneer een onderneming risico’s niet uitsluitend per afdeling beheerst, maar verantwoordelijkheid organiseert rondom het volledige klantproces. Dat vraagt om gezamenlijke doelstellingen, duidelijke besluitvorming en voldoende samenwerking tussen technische en commerciële disciplines.
Het eerste argument: organiseer fraudepreventie rondom het volledige proces
Voor Booking.com ligt een belangrijke verbeterkans in het verbinden van de verschillende onderdelen van de klantreis. Een reiziger zoekt een accommodatie, beoordeelt het aanbod, maakt een reservering en ontvangt vervolgens berichten. Daarna volgen mogelijk betalingen, wijzigingen en vragen aan de klantenservice. Iedere stap kent eigen risico’s en organisatorische afhankelijkheden.
Wanneer het management deze stappen afzonderlijk beoordeelt, kan het belangrijke samenhangen missen. Een verdachte accommodatieadvertentie kan bijvoorbeeld leiden tot een reservering, waarna frauduleuze communicatie ontstaat. Een probleem dat aanvankelijk beperkt lijkt tot één onderdeel van het platform, kan daardoor gevolgen krijgen voor meerdere processen.
Daarom is het verstandig om fraudepreventie te organiseren vanuit de volledige klantreis. Het management kan bepalen welke teams betrokken zijn bij het herkennen, beoordelen en oplossen van verdachte situaties. Vervolgens moet duidelijk zijn wie de regie neemt wanneer een incident meerdere afdelingen raakt.
Dat betekent niet dat alle werkzaamheden onder één nieuwe managementafdeling moeten vallen. Juist een grotere centrale organisatie kan aanvullende overlegstructuren en vertraging veroorzaken. De verbetering kan ook ontstaan door duidelijke gezamenlijke processen en afspraken over besluitvorming. Belangrijk is dat betrokken teams weten wanneer zij informatie moeten delen en wie verantwoordelijk is voor de uiteindelijke opvolging.
Een gezamenlijke aanpak vraagt bovendien om andere prestatie-indicatoren. Het aantal geblokkeerde accounts of verwijderde advertenties geeft bijvoorbeeld slechts gedeeltelijk inzicht in de kwaliteit van fraudepreventie. Ook de snelheid waarmee verdachte activiteiten worden herkend, de gevolgen voor klanten en het aantal onterecht geblokkeerde aanbieders zijn relevant.
Dat laatste verdient bijzondere aandacht. Een platform kan fraude proberen te verminderen door strengere controles in te voeren. Maar wanneer deze controles te veel betrouwbare accommodaties blokkeren, kan dat de dienstverlening eveneens verslechteren. Het management moet daarom veiligheid, toegankelijkheid en operationele efficiëntie gezamenlijk beoordelen.
Ook de informatievoorziening speelt een belangrijke rol. Wanneer klantenservice, partnerondersteuning en beveiliging vergelijkbare signalen ontvangen, moet de organisatie deze informatie kunnen verbinden. Daardoor kunnen terugkerende patronen eerder zichtbaar worden. Het gaat daarbij niet om het verzamelen van zoveel mogelijk gegevens, maar om het verantwoord gebruiken van relevante informatie.
De belangrijkste verbetering ontstaat wanneer Booking.com fraudepreventie niet uitsluitend beoordeelt vanuit technische maatregelen. Het management moet ook onderzoeken hoe medewerkers, systemen en externe partners gezamenlijk bijdragen aan een betrouwbaar boekingsproces.
Het tweede argument: de samenwerking met accommodatiepartners bepaalt de effectiviteit
Een tweede belangrijk aandachtspunt is de relatie met de aangesloten accommodaties. Booking.com is voor een groot deel van zijn dienstverlening afhankelijk van hotels, appartementen en andere aanbieders. Deze organisaties beschikken over eigen medewerkers, werkprocessen en technische systemen. Daardoor kan het platform niet alle beveiligingsrisico’s zelfstandig beheersen.
De waarschuwing van de Fraudehelpdesk van 28 juli 2026 biedt hiervoor een concreet voorbeeld. De organisatie ontving opnieuw meldingen van reizigers die na hun boeking verdachte berichten kregen. In deze berichten stonden soms echte reserveringsgegevens, waaronder de datum van het verblijf. Criminelen vroegen vervolgens om aanvullende verificatie of betaling.
Deze werkwijze laat zien hoe belangrijk de beveiliging van partneraccounts en reserveringsgegevens is. Wanneer onbevoegden toegang krijgen tot relevante informatie, kunnen zij berichten maken die moeilijk van echte communicatie te onderscheiden zijn. Daardoor is het niet voldoende om uitsluitend de reiziger te waarschuwen. Ook de processen bij aangesloten accommodaties verdienen aandacht.
Booking.com kan hiervoor gezamenlijke beveiligingsstandaarden ontwikkelen en bestaande maatregelen verder verbeteren. Denk aan duidelijke toegangsrechten, betrouwbare accountverificatie en snelle opvolging van verdachte activiteiten. Daarnaast kunnen praktische trainingen helpen om medewerkers van accommodaties bewuster te maken van risico’s. Vooral kleinere aanbieders beschikken niet altijd over gespecialiseerde beveiligingsmedewerkers.
Toch vraagt deze aanpak om een zorgvuldige afweging. Accommodaties verschillen sterk in omvang, technische mogelijkheden en beschikbare capaciteit. Een internationaal hotelconcern beschikt doorgaans over andere systemen dan een zelfstandig familiehotel. Daarom kan één uniforme beveiligingsaanpak voor alle partners onnodig ingewikkeld zijn.
Het management moet bepalen welke minimale veiligheidsvoorwaarden voor iedere aanbieder noodzakelijk zijn. Vervolgens kan het aanvullende ondersteuning organiseren voor partners die meer begeleiding nodig hebben. Zo ontstaat een gemeenschappelijke basis, terwijl de uitvoering voldoende rekening houdt met verschillen tussen organisaties.
Ook de communicatie bij incidenten verdient aandacht. Wanneer een accommodatie vermoedt dat een account is misbruikt, moet duidelijk zijn hoe zij dit meldt. Het platform moet vervolgens kunnen beoordelen welke reserveringen mogelijk risico lopen en welke reizigers een waarschuwing nodig hebben. Daarbij is snelheid belangrijk, maar moet de informatie ook voldoende betrouwbaar zijn.
Deze samenwerking vraagt om meer dan contractuele afspraken. De betrokken partijen moeten begrijpen waarom bepaalde maatregelen noodzakelijk zijn en hoe zij elkaar kunnen ondersteunen. Daarmee wordt partnerbeheer niet uitsluitend een commerciële activiteit, maar ook een onderdeel van de gezamenlijke risicobeheersing.
Het belangrijkste organisatorische praktijkinzicht is dat een platform zijn betrouwbaarheid niet volledig kan loskoppelen van de kwaliteit van zijn externe netwerk. De onderneming moet daarom niet alleen investeren in eigen systemen, maar ook in de samenwerking en ondersteuning van partners.
De Europese regels maken risicobeheersing onderdeel van de bedrijfsvoering
Het Europese onderzoek laat zien dat toezichthouders steeds nadrukkelijker kijken naar de manier waarop digitale platforms risico’s organiseren. De Digital Services Act verplicht zeer grote online platforms om bepaalde systeemrisico’s te beoordelen en passende maatregelen te nemen. Daarbij gaat het niet uitsluitend om het reageren op afzonderlijke incidenten. Ook de structurele oorzaken en de effectiviteit van bestaande maatregelen krijgen aandacht.
Voor Booking.com betekent dit dat fraudepreventie onderdeel moet zijn van de reguliere bedrijfsvoering. Het management moet kunnen uitleggen welke risico’s het heeft geïdentificeerd en hoe de organisatie daarmee omgaat. Ook moet het inzicht hebben in de resultaten van maatregelen en mogelijke nieuwe kwetsbaarheden. Dat vraagt om samenwerking tussen juridische, technische en operationele functies.
De transparantie van betaalde advertenties vormt daarbij een afzonderlijk aandachtspunt. De Europese Commissie onderzoekt of gebruikers voldoende kunnen herkennen wanneer accommodaties betalen voor een hogere positie in zoekresultaten. Dit raakt niet direct aan phishing, maar wel aan de betrouwbaarheid van de informatie die reizigers ontvangen. Daarmee komen commerciële keuzes en consumentenbescherming samen.
Een hogere positie in zoekresultaten kan commercieel aantrekkelijk zijn voor accommodatieaanbieders. Tegelijk moeten reizigers kunnen begrijpen wanneer betaalde promotie invloed heeft op de presentatie van het aanbod. Dat vraagt om duidelijke afspraken tussen commerciële teams, productontwikkelaars en medewerkers die verantwoordelijk zijn voor regelgeving. Ook hier ontstaat de kwaliteit van de dienstverlening door samenwerking tussen verschillende functies.
De uitdaging is om deze verantwoordelijkheden niet uitsluitend onder te brengen bij een complianceafdeling. Juridische specialisten kunnen aangeven welke eisen gelden, maar productteams moeten die eisen vertalen naar de dagelijkse werking van het platform. Commerciële teams moeten vervolgens begrijpen welke gevolgen dit heeft voor hun dienstverlening. Alleen wanneer deze verantwoordelijkheden samenkomen, kunnen regels effectief onderdeel worden van het bedrijfsproces.
Daarmee ontstaat een bredere ontwikkeling binnen organisatieverbetering. Risicobeheersing verschuift van een afzonderlijke controlefunctie naar een onderwerp dat invloed heeft op productontwikkeling, klantcontact en commerciële besluitvorming. Dat kan de organisatie complexer maken wanneer iedere afdeling nieuwe goedkeuringsprocedures introduceert. Maar het kan ook leiden tot betere prestaties wanneer verantwoordelijkheden duidelijker worden georganiseerd.
Organisatieverbetering vraagt om een andere manier van sturen
De ontwikkelingen rond Booking.com bevatten een belangrijk praktijkvoorbeeld voor ondernemingen die afhankelijk zijn van digitale platforms en externe partners. Een organisatie kan beschikken over geavanceerde technologie en uitgebreide beveiligingsmaatregelen, terwijl risico’s blijven ontstaan op de grenzen tussen verschillende partijen. Daarom moet het management verder kijken dan de prestaties van afzonderlijke afdelingen.
De kern ligt bij de vraag wie verantwoordelijkheid draagt voor het volledige proces. Wanneer een klant een probleem ervaart, maakt het voor die klant weinig verschil welke afdeling of externe partner de oorzaak vormt. De verwachting is dat de betrokken organisaties gezamenlijk voor een oplossing zorgen. Dat vraagt om duidelijke afspraken over signalering, besluitvorming en communicatie.
Voor Booking.com biedt het Europese onderzoek aanleiding om deze samenwerking opnieuw te beoordelen. Daarbij moet de onderneming niet alleen kijken naar technische beveiliging, maar ook naar de manier waarop zij partners ondersteunt. De ervaringen van klanten en de informatie uit incidenten kunnen helpen om structurele verbeteringen te herkennen.
Tegelijk moet het management voorkomen dat iedere nieuwe vorm van fraude leidt tot extra organisatorische complexiteit. Meer controles, rapportages en overlegmomenten leveren niet automatisch betere bescherming op. De waarde ontstaat wanneer medewerkers sneller relevante informatie kunnen delen en duidelijk weten welke acties noodzakelijk zijn.
Daarom verdienen gezamenlijke prestatie-indicatoren aandacht. Het management kan bijvoorbeeld kijken naar de tijd tussen een eerste fraudemelding en de opvolging daarvan. Ook kan het onderzoeken hoe vaak vergelijkbare incidenten terugkeren en welke maatregelen daadwerkelijk bijdragen aan het voorkomen van schade. Daarmee verschuift de aandacht van afzonderlijke activiteiten naar de effectiviteit van het totale proces.
De belangrijkste verbetering ontstaat wanneer fraudepreventie een gezamenlijke verantwoordelijkheid wordt, zonder dat de organisatie haar snelheid en klantgerichtheid verliest. Daarvoor zijn duidelijke bevoegdheden, betrouwbare informatie en goede samenwerking noodzakelijk. Ook moet het management voldoende ruimte bieden om bestaande werkwijzen aan te passen wanneer nieuwe risico’s ontstaan.
De ontwikkeling bij Booking.com laat zien dat vertrouwen georganiseerd moet worden
Het Europese onderzoek naar Booking.com is nog niet afgerond. Daarom staat niet vast of het platform de Digital Services Act heeft overtreden. Wel maakt de ontwikkeling duidelijk dat digitale veiligheid steeds belangrijker wordt voor de manier waarop grote platformorganisaties functioneren.
De cijfers over fraudemeldingen en de resultaten van het recente consumentenonderzoek laten zien hoe overtuigend online oplichting kan zijn. Daarbij spelen niet alleen technische kwetsbaarheden een rol, maar ook de samenwerking tussen platforms, accommodatieaanbieders en reizigers. Juist die afhankelijkheden maken het vraagstuk organisatorisch ingewikkeld.
Voor Booking.com ligt de uitdaging in het verbinden van verschillende verantwoordelijkheden. Productontwikkeling, informatiebeveiliging, partnerbeheer en klantenservice moeten gezamenlijk bijdragen aan een betrouwbaar boekingsproces. Dat vraagt om duidelijke besluitvorming en voldoende inzicht in de risico’s die tussen organisaties ontstaan.
Deze ontwikkeling raakt aan een breder principe binnen organisatieverandering. Veel ondernemingen proberen problemen op te lossen door nieuwe systemen, controles of gespecialiseerde afdelingen toe te voegen. Maar wanneer de onderlinge samenwerking onvoldoende verandert, blijven belangrijke risico’s bestaan.
Duurzame organisatieverbetering vraagt daarom om een andere benadering. Het management moet bepalen hoe medewerkers en externe partners gezamenlijk verantwoordelijkheid kunnen nemen voor de volledige dienstverlening. Daarbij moet het duidelijk maken welke informatie noodzakelijk is en wie besluiten neemt wanneer verschillende belangen samenkomen.
Het belangrijkste praktijkvoorbeeld van deze ontwikkeling is dat vertrouwen niet uitsluitend ontstaat door betere technologie of strengere regels. Het ontstaat wanneer een organisatie haar processen, verantwoordelijkheden en samenwerking zodanig inricht dat risico’s tijdig worden herkend en effectief worden aangepakt.
Voor Booking.com zal de komende periode moeten blijken welke conclusies de Europese Commissie trekt. Ongeacht de uitkomst blijft de organisatorische uitdaging relevant. Een internationaal platform moet voortdurend zoeken naar een goede balans tussen groei, gebruiksgemak, commerciële mogelijkheden en betrouwbaarheid.
Dat geldt ook voor andere ondernemingen die afhankelijk zijn van externe partners en digitale dienstverlening. Naarmate organisaties sterker met elkaar verbonden raken, wordt het moeilijker om risico’s binnen afzonderlijke afdelingen te beheersen. De kwaliteit van samenwerking krijgt daardoor een steeds grotere invloed op de prestaties van de totale organisatie.
Wanneer uw organisatie afhankelijk is van meerdere afdelingen, systemen en externe partners, beoordeelt u dan vooral of iedere partij zijn eigen verantwoordelijkheden goed uitvoert, of onderzoekt u ook wie daadwerkelijk verantwoordelijkheid neemt voor de kwaliteit en betrouwbaarheid van het volledige klantproces?
Meer lezen over interim-management en organisatieverandering
Interimmanager inhuren voor post-merger integratie en organisatieverandering
✔ De integratie loopt vertraging op
✔ Teams werken langs elkaar heen
✔ Processen sluiten niet meer aan
✔ Er ontbreekt overzicht in data, IT en operatie
✔ Een lijnmanager valt uit en er ontstaat onrust in het team
✔ De verwachte synergie blijft uit
Wie ik ben:
Ik ben een hands-on interim-manager die strategie, mensen en operatie bij elkaar brengt. Geen theoretische rapporten, maar goed samenhangende plannen, uitvoering, grip en resultaat.
✔ 20+ jaar ervaring met complexe integraties
✔ Interim inzetbaar op directieniveau als COO, CIO of programmamanager
✔ Focus op synergie, rust, structuur en meetbaar resultaat
✔ Flexibel inzetbaar, met heldere afspraken en marktconforme tarieven
Meer info over Robrecht Heukers
Van al deze opdrachten zijn referenties beschikbaar:
Telecom: KPN, VodafoneZiggo, Vodafone ● Scheepsbouw: Royal IHC ● Bouw en industrie: ECI Solutions en Arcadis ● Medische sector: Canon Medical ● Woningcorporaties: Thuisvester, WonenBreburg, Portaal en Woonkwartier ● ICT dienstverleners: Getronics, PinkRoccade, MuleSoft ● Banken: ABN Amro, MeesPierson ● Betaaldiensten: Mollie ● Salarisverwerking en ziekteverzuim: VismaRaet en Robidus ● Verzekeraars: AON en Achmea ● Muziekindustrie: BumaStemra
Klik hier om naar de dienstverlening te gaan voor complexe organisatieverandering, post-merger integratie trajecten, overname, of interim-management en advies in maatwerktrajecten.
Postmerger. BV
Drs. ing. Robrecht Heukers LSSBB
06 – 44 99 04 98
robrecht.heukers@postmerger.nl