Bij de leverancier van het boekingssysteem van het gastenverblijf van het UMC Utrecht kreeg een onbevoegde partij toegang tot de boekingen. Geen medische gegevens, wel namen, adressen, telefoonnummers en verblijfsdata van mensen met een zieke naaste. Wat dit incident zo leerzaam maakt, is niet wat er in het ziekenhuis gebeurde, maar wat er bij de leverancier gebeurde.
Op 14 augustus 2026 zette het UMC Utrecht een bericht op de eigen website dat begint met een zin die je zelden zo leest bij een ziekenhuis. "Tot onze schrik is er een datalek geweest bij het boekingssysteem van het gastenverblijf." Geen omtrekkende beweging, geen taal waarin het incident langzaam verdampt, gewoon een organisatie die opschrijft wat er is gebeurd en wat mensen nu moeten doen. Dat verdient een compliment, en het is meteen de reden om er wat langer bij stil te staan. Want wat hier gebeurde is niet uitzonderlijk. Het overkomt op dit moment honderden Nederlandse organisaties, alleen wordt het zelden zo helder uitgelegd.
Wat er precies is gebeurd
Het gastenverblijf van het UMC Utrecht is geen ziekenhuisafdeling. Het zijn acht tweepersoonskamers waar u kunt overnachten wanneer uw partner, familielid of vriend in het ziekenhuis is opgenomen. U reserveert een kamer online. Dat gaat niet via een systeem van het ziekenhuis zelf, maar via een boekingssysteem van een externe leverancier, VIPS PMS.
Bij die leverancier ging het mis. Op 2 augustus 2026 kreeg een onbevoegde partij ongeautoriseerd toegang tot de boekingen. Pas op 6 augustus, vier dagen later, kreeg het UMC Utrecht daar bericht over. Uit nader onderzoek van de leverancier bleek dat die partij toegang had gehad tot de boekingen van de gastenkamers en tot de persoonsgegevens die daarbij horen. Het gaat om reserveringen uit het verleden, het heden en de toekomst.
Ingezien konden worden de naam, het geslacht, het adres, het e-mailadres en het telefoonnummer, plus de boekingsinformatie met onder meer de aankomstdatum en de vertrekdatum. Volgens de informatie die het ziekenhuis nu heeft zijn er geen financiële gegevens geraakt en geen bijzondere persoonsgegevens, en dus ook geen patiëntgegevens. Het UMC Utrecht schat het risico als beperkt in, meldde het datalek bij de Autoriteit Persoonsgegevens en informeerde alle betrokken gasten per e-mail. Een woordvoerder van het ziekenhuis liet aan persbureau ANP weten dat het om ongeveer vijfduizend mensen gaat. Dat aantal staat niet in de eigen verklaring, dus houd het aan als mededeling aan de pers en niet als uitkomst van het onderzoek.
De leverancier heeft de externe toegang direct geblokkeerd, de toegangsgegevens opnieuw ingesteld, gegevens voor het onderzoek veiliggesteld, extra controle en registratie van activiteiten aangezet en aanvullende beveiligingsmaatregelen genomen. Het boekingssysteem is daarna in gebruik gebleven.
Waarom "geen medische gegevens" niet hetzelfde is als "onschuldig"
Het is goed dat het ziekenhuis dit expliciet benoemt, want het is het eerste waar mensen zich zorgen over maken. Er zijn geen dossiers gelekt, geen diagnoses, geen behandelingen. Dat scheelt enorm.
Toch is er iets aan deze verzameling gegevens dat aandacht verdient, en dat heeft niets met paniek te maken. Wie op deze lijst staat, boekte een kamer in een gastenverblijf van een academisch ziekenhuis. Daar logeert u niet voor uw plezier. U doet dat omdat iemand die u dierbaar is op dat moment is opgenomen. De aankomstdatum en de vertrekdatum staan erbij. In de wet is dat geen bijzonder persoonsgegeven, en dat klopt ook, maar het is wel context. En context is nu precies wat oplichting geloofwaardig maakt.
De Autoriteit Persoonsgegevens beschrijft dat patroon uit eigen waarneming. In haar Datalekkenrapportage over 2025 noemt de toezichthouder de toerismesector een populair doelwit, met veel meldingen over hotels, accommodatieplatformen, reisorganisaties en vliegtuigmaatschappijen. Bij dat soort datalekken worden volgens de AP vaak contactgegevens gestolen in combinatie met informatie over de reservering. Wat daarna gebeurt, beschrijft de toezichthouder ook. Bij een grote reisorganisatie werden gestolen klantgegevens al snel gebruikt voor oplichting, en klanten kregen persoonlijke phishingmails met de vraag om nog een deel van hun reis te betalen.
De Fraudehelpdesk waarschuwt sinds eind juli 2026 opnieuw voor dezelfde truc bij accommodaties. Mensen die een kamer boekten krijgen daarna een bericht via WhatsApp, sms of e-mail dat van het platform lijkt te komen. Om geloofwaardig over te komen noemen de afzenders de datum waarop er werkelijk is geboekt. Dat ene kloppende detail is genoeg om iemand over de streep te trekken. Dat is geen technische aanval meer, dat is social engineering met een goede voorbereiding.
Er is op dit moment geen enkele aanwijzing dat de gegevens van de gasten van het UMC Utrecht al zijn misbruikt. Het ziekenhuis zegt zelf dat de contactgegevens mogelijk gebruikt kunnen worden om mensen te benaderen. Dat is de juiste toon, en het is ook precies de reden om de waarschuwing serieus te nemen. Gestolen gegevens verlopen niet. Ze duiken soms maanden later op.
Het echte doelwit was niet het ziekenhuis
Hier zit de kern van dit verhaal, en die reikt veel verder dan één gastenverblijf in Utrecht.
De inbraak vond plaats bij de leverancier. Niet in de omgeving van het ziekenhuis, niet in het patiëntendossier, maar in een boekingssysteem dat door een externe partij wordt beheerd en dat ook buiten de zorg wordt gebruikt. Voor de aanvaller is dat aantrekkelijk, want een leverancier werkt zelden voor één klant.
De Autoriteit Persoonsgegevens legt dat mechanisme kernachtig uit. Het aantal gemelde datalekken door cyberaanvallen ligt hoger dan het aantal aanvallen, schrijft de toezichthouder, omdat één aanval er soms voor zorgt dat meerdere organisaties een melding moeten doen, bijvoorbeeld wanneer dezelfde softwareleverancier van een aantal organisaties is aangevallen. In november 2025 publiceerde de AP een onderzoek naar vijf grote aanvallen op dienstverleners. Die vijf aanvallen samen raakten ruim 1250 organisaties in Nederland en waarschijnlijk tien en een half miljoen mensen. Vijf aanvallen, tien en een half miljoen mensen.
De cijfers eromheen zijn navenant. In 2025 werden 39.407 datalekken bij de AP gemeld, tegen 37.839 in 2024. Het aandeel daarvan dat door een cyberaanval kwam steeg van 1.537 naar 2.428 meldingen. De sectoren die de meeste meldingen doen zijn financiële dienstverlening, openbaar bestuur en gezondheid en welzijn, simpelweg omdat daar veel en gevoelige gegevens worden verwerkt.
De zorg voelt die afhankelijkheid harder dan andere sectoren. Z-CERT, het expertisecentrum voor cybersecurity in de Nederlandse zorg, publiceerde op 3 maart 2026 het jaarlijkse Cybersecuritybeeld voor de zorg. De conclusie is dat zorgorganisaties expliciet rekening moeten houden met scenario's waarin digitale systemen langere tijd niet beschikbaar zijn, en uitval van leveranciers wordt daarbij in één adem genoemd met gijzelsoftware en met problemen in stroom en dataverbindingen. De directeur van Z-CERT, Wim Hafkamp, zegt het zonder omhaal. Digitale uitval is geen abstract probleem in de serverruimte, het gaat om mensen die zorg nodig hebben.
Dat is niet theoretisch. De AP wijst er in dezelfde rapportage op dat er begin 2026 grote datalekken waren bij telecomprovider Odido en bij ChipSoft, de softwareleverancier voor gezondheidsdata. Bij dat laatste incident kwam de afhankelijkheid van de Nederlandse zorg van een handvol leveranciers pijnlijk in beeld.
Wat u kunt doen als u gast bent geweest
Het advies van het ziekenhuis is concreet en de moeite waard om te onthouden, ook als u daar zelf niet hebt gelogeerd.
Wees extra alert op onverwachte berichten over uw verblijf of uw betaling. Het UMC Utrecht vraagt gasten niet om vooraf digitaal te betalen. U rekent uw verblijf af bij het uitchecken. Het ziekenhuis vraagt ook niet via e-mail of via WhatsApp om betaalgegevens. Krijgt u toch zo'n bericht, ga er dan niet op in en klik niet op de links erin. Twijfelt u, bel dan zelf het ziekenhuis via 088 75 555 55. Niet via een nummer uit het verdachte bericht, maar via het nummer dat u zelf opzoekt.
Dat laatste is de gouden regel bij elk bericht dat te goed op uw situatie past. Bel terug via een nummer dat u zelf hebt opgezocht. Een oplichter kan uw naam kennen, uw adres, uw telefoonnummer en de datum van uw verblijf. Wat hij niet kan, is voorkomen dat u zelf de telefoon pakt.
Wat organisaties hieruit kunnen halen
Voor wie verantwoordelijk is voor een organisatie zit de les niet in het boekingssysteem, maar in de vraag welke systemen er nog meer zijn waar zelden aan wordt gedacht. Het parkeersysteem, de restaurantreservering, het bezoekersregister, de webshop van de personeelsvereniging. Ze staan zelden op de risicokaart, en ze bevatten wel gewoon persoonsgegevens van echte mensen.
De Autoriteit Persoonsgegevens gaf in november 2025 drie aanbevelingen die precies hierover gaan. Maak afspraken met een leverancier zo concreet mogelijk, dus niet een herhaling van de wettekst maar duidelijkheid over wie wanneer wie belt bij een incident en met welke informatie. Houd grip op de hele leveranciersketen, ook op de partijen achter uw leverancier. En geef het opstellen en bijhouden van die afspraken echt prioriteit, want een overeenkomst die drie jaar niet is bekeken helpt u niet op de dag dat het misgaat.
Daarbij hoort een zin van de toezichthouder die eigenlijk boven elke inkoopafspraak zou moeten hangen. U bent en blijft verantwoordelijk voor de persoonsgegevens van uw klanten, ook wanneer u diensten uitbesteedt. De aanval kan bij een ander plaatsvinden, de verantwoordelijkheid verhuist niet mee. En ga er, opnieuw in de woorden van de AP, van uit dat u of uw dienstverlener ooit door een groot datalek geraakt wordt. Dan is voorbereiding geen luxe.
Tot slot
Er is bij het gastenverblijf van het UMC Utrecht geen medisch dossier op straat komen te liggen. Er is wel een lijst met namen, adressen, telefoonnummers en verblijfsdata van mensen die in een moeilijke periode zaten. Het ziekenhuis heeft dat opgeschreven, aan de toezichthouder gemeld, de gasten zelf per e-mail bericht en er excuses voor aangeboden. Zo hoort het, en dat mag ook gezegd worden.
De rest van het werk zit bij de keten erachter, bij de vraag of we wel weten wie er allemaal met onze gegevens werkt. En bij ons allemaal, in dat ene moment waarop er een keurig kloppend berichtje binnenkomt en we even wachten voordat we klikken. Kennis is daarbij het beste wapen dat we hebben.
Blijf alert, en pas goed op uzelf en op elkaar.
Lees ook:
► Slachtoffer van een datalek, dit moet u doen