Waarom hackers dol zijn op de horeca (en hoe kleine zaken zich verweren)

Vraag een cybercrimineel om het perfecte slachtoffer te beschrijven, en ze schetsen iets ongemakkelijk gelijkend op een restaurant: een zaak die de hele dag kaartbetalingen verwerkt, draait op dunne marges waardoor één dag downtime existentieel is, werkt met een wisselende bezetting parttimers die logins delen, en niemand heeft IT als daadwerkelijke functie. Beveiligingsonderzoekers vinden steeds hetzelfde — dreigingsrapporten over de horecasector beschrijven die als een blijvende favoriet voor phishing, kassamalware en ransomware, en ENISA’s Threat Landscape 2025 laat zien dat aanvallen in heel Europa nog steeds toenemen.

De aanvallen zijn geen Hollywood. Ze zijn deprimerend praktisch.

De valse leveranciersfactuur. Een e-mail die er precies uitziet als je groentenboer, met een PDF-bijlage of een “nieuw bankrekeningnummer”. Één klik installeert malware of leidt een betaling om. Dit is het belangrijkste toegangspunt voor kleine bedrijven, omdat het de drukste, meest vertrouwende inbox van het pand raakt: die van de eigenaar.

Het gedeelde wachtwoord. Één tablet-login gebruikt door veertien medewerkers, ongewijzigd sinds 2022, ook gebruikt voor de e-mail van de eigenaar. Als de gephishte inloggegevens van één parttimer alles openen, is dat geen pech — het is architectuur.

Ransomware via de achterdeur. Verouderde software op een kantoor-pc — dezelfde die ook de boekhouding draait — wordt versleuteld, en plotseling is de vraag of je vanavond nog kunt serveren. Hotels hebben precies dit meegemaakt: property management- en kassasystemen op slot, bedrijfsvoering teruggebracht tot pen en papier, en een losgeldbriefje waar de reserveringen hoorden te staan.

Wat Europa doet — en waar jij in past

Het EU-antwoord op infrastructuurniveau is NIS2, een richtlijn die serieuze beveiligingsplichten oplegt — risicobeheer, incidentmelding, verantwoordelijkheid op bestuursniveau — aan essentiële en belangrijke entiteiten. Een gemiddeld restaurant of hotel valt niet direct binnen het bereik van NIS2. Maar de systemen waar je van afhankelijk bent, vallen dat steeds vaker wel, of bedienen klanten die dat wel doen: betaalproviders, cloudsoftware, logistieke ketens. De ketenvereisten van NIS2 betekenen dat jouw leveranciers lastige beveiligingsvragen krijgen — precies waarom “wie regelt de beveiliging, jij of je software?” een eerlijke vraag is geworden voor elk systeem dat je aan je kassa zet.

Financiële regelgeving wijst dezelfde kant op: DORA houdt betaal- en financiële bedrijven aan strenge eisen voor digitale weerbaarheid. Het praktische gevolg voor een kleine zaak is bemoedigend — als je draait op geïntegreerde, professioneel onderhouden cloudsoftware, erf je een groot deel van je beveiligingsniveau van providers die verplicht zijn dit serieus te nemen.

De onglamoureuze basis die de meeste aanvallen stopt

Beveiligingsprofessionals zijn het eens over de saaie waarheid: de meerderheid van incidenten bij kleine bedrijven zou gestopt worden door basisprincipes, niet door firewalls met knipperende lichtjes.

Geef elke medewerker een eigen login, en verwijder die op de dag dat ze vertrekken. Zet tweefactorauthenticatie overal aan waar het bestaat, beginnend bij e-mail en bankieren. Update alles wat erom vraagt; de aanval die iemands kantoor-pc onbruikbaar maakte, gebruikte een gat dat maanden eerder al was gepatcht. Behandel elke onverwachte factuur of gewijzigd IBAN als schuldig tot het tegendeel bewezen is — verifieer telefonisch, op een nummer dat je al had (de nieuwe Verification of Payee-naamcontrole van de EU helpt hier ook bij). En zorg dat de dingen die ertoe doen ergens zijn geback-upt waar de ransomware niet bij kan — wat bij cloudsystemen de taak van je provider is, niet van een USB-stick in de la.

Wat dit betekent voor jouw zaak

• Minder systemen, minder deuren. Elk apart tool met zijn eigen login en eigen update-cyclus is weer een deur om te vergeten op slot te doen. Een geïntegreerd platform zoals FENBI — POS en Financiën in één cloudsysteem, centraal bijgewerkt en gemonitord — verkleint je aanvalsoppervlak tot iets dat een klein team daadwerkelijk kan beheren.
• Maak beveiliging een checklist, geen bui. De toegang van een vertrokken medewerker intrekken, controleren op updates, nieuwe leveranciers-IBAN’s verifiëren — zet ze als terugkerende taken met een eigenaar in FENBI To-Do.
• Repeteer de slechte dag. Stel jezelf deze week één vraag: als het internet uitvalt tijdens de zaterdagavonddienst, wat is ons plan? Schrijf het antwoord op. Zaken met een plan van één pagina heropenen; zaken zonder plan improviseren slecht.

Werk je in een hotel met meerdere systemen die op elkaar moeten aansluiten? Bekijk onze oplossing voor hotels.

Bronnen: LevelBlue, ENISA (via Industrial Cyber), GBQ, Akamai.