Waarom frequent flyers hun airline-account nooit hetzelfde wachtwoord mogen geven

Vijfhonderdduizend Flying Blue-miles vertegenwoordigen een waarde van een businessclassvlucht naar Tokio, en op de secundaire markt wisselen ze soms voor honderden euro's van eigenaar.

Een frequent flyer-account draagt dus echte waarde, en als die rekening met hetzelfde wachtwoord beveiligd is als die je ooit op een forum invulde, kun je op een maandagochtend ontdekken dat 'je' zelf vorige week een vlucht naar Istanbul hebt geboekt op naam van iemand die je nooit hebt ontmoet.

De Fraudehelpdesk zag in de eerste helft van 2026 een bijna vertienvoudiging van het aantal phishingmeldingen rond boekingssites, met 443 gemelde slachtoffers en bijna een half miljoen euro aan schade. Reizigers reageren sneller op "er is iets mis met je boeking"-berichten omdat er ook écht iets afhangt van die boeking. Daar komt bij dat loyaliteitsaccounts vaak paspoortnummers, geboortedata, adresgegevens en betaalvoorkeuren bevatten.

Een crimineel heeft een lijst van tientallen miljoenen combinaties van e-mail en wachtwoord, grotendeels afkomstig uit lekken bij webwinkels en forums. Toen bij drogisterijketen DA 236.000 klanten getroffen werden door een datalek, kwamen er weer bakken aan materiaal bij. Die combinaties worden massaal uitgeprobeerd op loginpagina's van Flying Blue, Miles & More, Executive Club, Mileage Plan, wat je maar wilt. 

Hergebruik je dus hetzelfde wachtwoord op je airline-account dat je tien jaar geleden op een hobbysite had, dan ligt daar het risico. Airlines bouwen hun fraudeteams de laatste jaren wel uit, al blijft het een race tussen degene die miles aan het wegsluizen is en de medewerker die 't tijdens de nachtdienst in het dashboard ziet verschijnen.

De minimale uitrusting voor je airline-account

Een wachtwoordmanager verzint voor je Flying Blue, je Miles & More, je British Airways Executive Club en de rest elk een uniek, lang, willekeurig wachtwoord. Bewaart deze versleuteld, vult ze automatisch in en waarschuwt je zodra er een datalek opduikt.

Zet er tevens een tweestapsverificatie bovenop (via een authenticator-app of een hardwaresleutel). Veel loyaliteitsprogramma's bieden dat inmiddels aan, al moet je 't vaak zelf opzoeken in de accountinstellingen. Als een airline alleen sms-codes aanbiedt, is dat beter dan niets. Al is sms kwetsbaar voor sim-swapping. Probeer waar mogelijk een echte authenticator. En laat accountwaarschuwingen aanstaan, zodat elke login vanaf een nieuw apparaat een melding op je telefoon geeft. 

Log in op elk loyaliteitsprogramma waar je lid van bent en kijk niet alleen naar het aantal punten, maar ook naar het tabblad "accountactiviteit" of "ingeplande boekingen". Verander het wachtwoord dat je niet elders gebruikt en bewaar het in je wachtwoordmanager. Haal de opgeslagen betaalkaarten weg die niet meer gebruikt worden. Check voor de zekerheid je e-mailadres op haveibeenpwned.com en vervang de wachtwoorden van elke site die daar opduikt én waar je nog actief bent.

En de volgende keer dat je een "bevestig je boeking"-mail krijgt, open 'm niet via de link in het bericht, maar typ zelf het adres in je browser. Oplichters leven van die ene seconde haast tussen de gate-change en de incheckbalie.