L’essentiel
- Un message qui cite le nom du client et ses dates de séjour n’est pas une preuve d’authenticité.
- Une plateforme de réservation ne demande jamais d’exécuter une commande ou d’installer un outil de « vérification ».
- Accès aux extranets par les favoris, comptes individuels, double authentification : des réflexes simples et efficaces.
- En cas de doute, chacun doit savoir qui prévenir et quoi sécuriser, immédiatement.
Un client reçoit un message qui mentionne son hôtel, ses dates de séjour et son nom. On lui demande de confirmer sa carte bancaire pour éviter l’annulation de sa réservation. Les informations sont exactes, mais la demande est frauduleuse.
Le 15 juin 2026, le HKCERT, centre de réponse aux incidents de sécurité de Hong Kong, a alerté sur des messages envoyés par e-mail et WhatsApp au nom de Booking.com ou d’hôtels. Ils reprennent des données de réservation présumées issues d’une fuite : nom du client, coordonnées, date d’arrivée, échanges avec l’établissement. Leur objectif : obtenir des coordonnées bancaires ou des mots de passe via de fausses pages de paiement (HKCERT).
Conclusion : connaître le séjour ne suffit pas à prouver qu’une demande est authentique. Pour un hôtel, le risque touche à la fois les clients, les comptes professionnels et les postes utilisés par les équipes.
1. La réception, premier point de vigilance
Les collaborateurs traitent chaque jour des confirmations, des réclamations, des demandes particulières et des documents envoyés par des voyageurs. Les attaquants s’appuient sur ces situations habituelles pour provoquer une action précipitée.
Bitdefender décrit une campagne, observée depuis fin 2025 et mise à jour en août 2026, qui vise les établissements partenaires de Booking.com. Le scénario : un faux e-mail de réclamation client renvoie vers une page imitant l’extranet, qui demande de copier une commande dans Windows pour une prétendue « vérification ». Cette commande installe un logiciel espion capable de voler les identifiants, les mots de passe et les e-mails du poste (Bitdefender).
Un message qui demande d’installer un programme, d’exécuter une commande ou de désactiver une protection doit toujours déclencher une vérification. Un message envoyé depuis la vraie adresse d’un client peut aussi être piégé : nous détaillons ce cas dans notre article Phishing Booking.com : même un mail envoyé par un vrai client peut être dangereux.
2. Organiser les vérifications plutôt que compter sur la seule vigilance
Les équipes ont besoin de consignes simples, applicables pendant le service :
- ouvrir les extranets et comptes professionnels depuis les favoris, jamais depuis un lien reçu par message ;
- vérifier une demande inhabituelle auprès de l’interlocuteur par un canal déjà connu (numéro habituel, compte officiel) ;
- utiliser des comptes individuels, avec des droits adaptés à chaque fonction ;
- activer l’authentification multifacteur partout où elle est disponible.
Ces mesures s’accompagnent de postes maintenus à jour et d’un suivi des accès. Une procédure de départ des collaborateurs évite aussi de conserver des comptes qui ne sont plus nécessaires.
3. Préparer la réaction en cas de doute
Si un collaborateur pense avoir communiqué ses identifiants ou ouvert un fichier suspect, il doit savoir qui contacter immédiatement, sans crainte d’être blâmé.
La procédure prévoit la prise en charge du poste, la sécurisation des comptes concernés (changement de mot de passe, fermeture des sessions actives) et la conservation des éléments utiles à l’analyse.
Il faut aussi vérifier si des messages frauduleux ont pu être envoyés aux clients. La réponse se coordonne entre la direction, le prestataire informatique et les plateformes concernées.
4. Protéger la confiance autant que les équipements
La sécurité d’un hôtel repose sur un ensemble : outils, accès, habitudes de travail et capacité à réagir.
Chez WILUG, nous intégrons ces sujets au pilotage informatique des établissements, en tenant compte des contraintes de la réception et des équipes.
Sources : HKCERT, 15 juin 2026 · Bitdefender, mis à jour le 14 août 2026
Vos collaborateurs savent-ils comment réagir face à une demande suspecte ? Faisons le point sur vos accès et vos procédures.