Phishing Booking : comment protéger votre hôtel et vos clients ?

Un client appelle la réception après avoir reçu un message concernant sa réservation. Son nom, ses dates de séjour et le montant correspondant. Pourtant, on lui demande soudain de confirmer sa carte bancaire ou d’effectuer un paiement via un lien.

Le message paraît crédible parce qu’il s’appuie sur de vraies informations.

Dans certaines attaques, le point de départ n’est pas Booking.com lui-même, mais un compte partenaire ou un appareil de l’hôtel compromis. L’attaquant peut alors accéder à certaines données de réservation et les utiliser pour envoyer des messages frauduleux aux voyageurs. Booking.com identifie notamment le phishing comme une cause fréquente de prise de contrôle des comptes partenaires.

Comprendre ce scénario permet aux équipes de reconnaître plus vite les signaux d’alerte et de limiter les conséquences pour l’établissement comme pour ses clients.

‍

Comment une attaque peut-elle partir du compte Booking de l’hôtel ?

Le scénario suit souvent une chaîne assez simple.

Tout commence par un collaborateur qui reçoit un email, un SMS ou un message WhatsApp apparemment envoyé par Booking.com. Il peut s’agir d’un problème avec une réservation, d’une demande urgente ou d’une invitation à se reconnecter à l’Extranet.

Le lien mène vers une fausse page de connexion. Si les identifiants sont saisis, l’attaquant peut tenter de prendre le contrôle du compte. Un logiciel malveillant installé sur un poste de l’hôtel peut également constituer un point d’entrée. Booking.com cite précisément le phishing, les malwares et les outils de contrôle à distance parmi les risques touchant les partenaires.

Une fois l’accès obtenu, certaines informations relatives aux réservations peuvent devenir accessibles. L’attaquant dispose alors de suffisamment de contexte pour construire un message beaucoup plus convaincant qu’un phishing classique.

Le voyageur reçoit par exemple :

« Votre paiement n’a pas pu être validé. Merci de confirmer votre réservation dans les deux heures afin d’éviter son annulation. »

Le lien conduit ensuite vers un faux espace de paiement destiné à récupérer des informations bancaires.

Le danger vient donc de l’enchaînement :

compte compromis → accès à des informations de réservation → message personnalisé → faux lien de paiement.

Pour l’hôtel, ce risque concerne directement la protection des données clients dans l’hôtellerie, et pas seulement la sécurité d’un compte Booking.

‍

Quels messages doivent alerter vos équipes ?

Un email qui reprend parfaitement le logo et les couleurs de Booking.com n’est pas forcément authentique.

Ce sont surtout le contexte et l’action demandée qu’il faut examiner.

Une demande mérite une vérification supplémentaire lorsqu’elle crée une urgence inhabituelle, demande de saisir à nouveau un mot de passe, comporte une pièce jointe inattendue ou dirige vers une page de connexion depuis un lien reçu par email, SMS ou WhatsApp.

Booking.com précise que son Service Partenaires peut demander l’identifiant de l’établissement, mais qu’il n’a pas besoin du mot de passe du compte ni des informations financières sensibles. La plateforme recommande également une vigilance particulière vis-à-vis des liens et pièces jointes reçus par messagerie.

Plutôt que de cliquer directement, l’équipe peut ouvrir Booking.com depuis son raccourci habituel ou saisir elle-même l’adresse du service, puis vérifier si la même demande apparaît dans l’Extranet.

Cette habitude simple réduit fortement le risque de tomber sur une copie du site.

‍

Sécurisez les accès avant de sensibiliser les clients

La première protection se situe côté hôtel.

Booking.com recommande notamment l’authentification à deux facteurs, la formation du personnel, les logiciels de sécurité à jour et une bonne gestion des comptes.

L’authentification à deux facteurs est particulièrement importante : si un identifiant et un mot de passe sont compromis, l’attaquant doit encore franchir une étape supplémentaire avant de pouvoir se connecter.

Les mots de passe doivent également être uniques. Réutiliser le même mot de passe pour Booking, la messagerie professionnelle et d’autres outils transforme la compromission d’un seul service en risque pour plusieurs comptes.

Enfin, les accès doivent correspondre aux besoins réels des équipes. Un collaborateur qui n’a plus besoin d’utiliser un outil ne devrait pas conserver indéfiniment ses identifiants.

La sécurité repose donc autant sur les réglages techniques que sur les habitudes quotidiennes.

‍

Rendez vos vraies demandes de paiement faciles à reconnaître

Le voyageur peut difficilement identifier un faux message si les communications légitimes de l’hôtel changent constamment.

Un jour, un lien de paiement arrive par email. Le lendemain, une demande est envoyée manuellement par WhatsApp. Une autre fois, les coordonnées bancaires sont demandées directement dans un message.

Plus les pratiques sont dispersées, plus une demande frauduleuse peut paraître normale.

Il est donc utile de définir clairement comment l’hôtel communique avant le séjour et comment une demande de paiement légitime est présentée.

Cette cohérence rejoint les principes d’une bonne communication hôtelière tout au long du parcours client : le voyageur doit savoir quel message attendre, à quel moment et via quel canal.

Pour les opérations nécessitant une garantie bancaire, un processus structuré limite également la circulation manuelle des données de paiement. GetWelcom propose notamment un parcours de pré-autorisation hôtelière présenté comme conforme aux normes PCI DSS (Payment Card Industry Data Security Standard), un standard international qui encadre la sécurisation des données de cartes bancaires.

Cela ne rend évidemment pas le phishing impossible. En revanche, plus le parcours officiel est identifiable, plus une demande inhabituelle a de chances d’alerter le client ou l’équipe.

‍

Que faire si vous soupçonnez une compromission ?

Si un compte ou un poste de travail semble compromis, le premier objectif est d’empêcher l’attaquant de conserver son accès.

Contactez Booking.com via un canal officiel et signalez rapidement l’activité suspecte. Booking.com demande aux partenaires de l’informer lorsqu’ils remarquent une activité inhabituelle.

Changez ensuite les identifiants concernés depuis un appareil que vous considérez comme sûr et vérifiez l’authentification à deux facteurs.

Si le même mot de passe était utilisé ailleurs, modifiez également ces accès.

Il faut ensuite rechercher ce qui a pu être fait depuis le compte : modifications de paramètres, messages envoyés, données consultées ou réservations potentiellement concernées.

Si le problème semble venir d’un ordinateur infecté, changer uniquement le mot de passe ne suffit pas. Le poste doit être isolé et vérifié avant d’être réutilisé pour accéder aux comptes de l’hôtel.

‍

Des clients ont reçu le faux message : que leur dire ?

Si des voyageurs ont reçu une demande frauduleuse, la communication doit être rapide et très simple.

Prévenez-les depuis un canal dont l’authenticité est maîtrisée par l’établissement. Il n’est pas nécessaire de leur expliquer immédiatement tous les détails techniques de l’incident.

Le message peut aller directement à l’essentiel :

Un message frauduleux a pu vous être adressé concernant votre réservation. Merci de ne pas utiliser le lien de paiement contenu dans ce message et de ne pas y communiquer vos informations bancaires. En cas de doute, contactez directement notre établissement ou Booking.com via leurs coordonnées officielles.

Le client doit comprendre trois choses : quel message est suspect, quelle action éviter et comment vérifier sa réservation.

Évitez en revanche d’affirmer trop tôt que « tout est sécurisé » si l’analyse de l’incident n’est pas terminée.

Dans ce type de situation, la traçabilité des communications et des données peut également faciliter l’identification des voyageurs concernés. C’est l’un des enjeux abordés dans notre contenu sur la digitalisation du parcours client et la conformité.

‍

Compte Booking compromis : faut-il prévenir la CNIL ?

Il n’est pas nécessaire de toujours prévenir la CNIL en cas de compte Booking compromis.
Recevoir un email de phishing ne constitue pas en soi une violation de données personnelles.

La situation change lorsqu’une personne non autorisée a réellement accédé, divulgué, modifié, perdu ou détruit des données personnelles concernant les voyageurs.

Dans ce cas, l’incident doit être documenté et son niveau de risque évalué.

La CNIL précise que toute violation doit être documentée en interne. Lorsqu’elle présente un risque pour les droits et libertés des personnes, elle doit également être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où l’entreprise en a connaissance. Si le risque est élevé, les personnes concernées doivent aussi être informées.

L’hôtel doit donc être capable de déterminer rapidement qui prend cette décision : direction, DPO, responsable informatique ou prestataire externe selon son organisation.

Le bon réflexe n’est pas de déclarer systématiquement chaque tentative de phishing, mais de vérifier si des données personnelles ont réellement été compromises et quelles conséquences cela peut avoir pour les voyageurs.

‍

Préparez un protocole avant le prochain incident

La découverte d’une attaque n’est pas le moment idéal pour rechercher le numéro de Booking.com, décider qui change les accès ou rédiger le premier message destiné aux clients.

Un protocole d’une page peut suffire.

Il doit préciser qui contacte Booking.com, qui sécurise les comptes, qui vérifie les postes informatiques, qui identifie les réservations touchées et qui évalue l’éventuelle violation de données personnelles.

Préparez également à l’avance un modèle très court de message destiné aux voyageurs. Il pourra être adapté selon l’incident sans repartir de zéro.

Enfin, donnez à toute l’équipe une règle simple : une demande inhabituelle de connexion, de paiement ou de transmission de données ne doit jamais être traitée dans l’urgence sans vérification par un canal officiel.

Cette règle est facile à mémoriser et protège aussi bien l’hôtel que ses clients.

‍

Sécurisez aussi les étapes sensibles avant l’arrivée

GetWelcom permet de structurer les communications avant séjour et de digitaliser certaines étapes comme la pré-autorisation bancaire, afin de proposer aux clients un parcours plus identifiable et mieux organisé.

Demander une démonstration de GetWelcom

‍