Vous avez séjourné dans un hôtel récemment ? Votre nom, vos coordonnées et les détails de votre réservation ont peut-être été aspirés. Le logiciel Medialog Hôtel, utilisé par 1 500 établissements, a été piraté début octobre. Les données bancaires ne sont pas touchées, mais ces informations suffisent à fabriquer des arnaques convaincantes.
En bref
- Des accès non autorisés ont permis d'extraire environ 135 Go de données dans la nuit du 4 au 5 octobre.
- Les fiches contiennent identités, coordonnées et détails des réservations, mais ni données bancaires ni photos de cartes d'identité.
- Des arnaques par WhatsApp sont déjà identifiées : faux lien de vérification de réservation ou acompte demandé avant l'arrivée à l'hôtel.
Le chiffre clé : 1 500, hôtels utilisant le logiciel Medialog Hôtel dont les données ont été extraites.
Identité, coordonnées et réservations ont été volées, pas votre carte bancaire
Les pirates ont mis la main sur les fiches clients complètes des hôtels équipés du logiciel. Concrètement, cela couvre votre identité, vos coordonnées et toutes les informations liées à vos réservations.
Une précision rassurante : ces fiches ne contiennent ni données bancaires ni photographies de cartes d'identité. Votre numéro de carte n'a donc pas été directement exposé par cette fuite.
Le danger est ailleurs. Quelqu'un qui connaît votre nom, vos coordonnées et les détails de votre séjour peut vous écrire comme s'il était l'hôtel. Ces données suffisent à monter des arnaques convaincantes, dont l'objectif reste toujours le même : récupérer vos données bancaires.
Deux scénarios d'arnaque sont déjà décrits, dont des messages sur WhatsApp
Le premier scénario : on vous demande de cliquer sur un lien pour « vérifier » une réservation. Le second : on vous réclame un acompte à payer avant votre arrivée à l'hôtel.
Dans les deux cas, le but est de vous faire saisir vos informations bancaires sur une page contrôlée par les escrocs. Des escroqueries de ce type ont déjà pu être identifiées sur WhatsApp.
Ce qui rend le piège efficace, c'est l'exactitude des détails. Un message qui cite votre vrai séjour, avec les bonnes informations de réservation, paraît légitime. Ici, cette exactitude ne prouve plus rien : elle vient des fiches volées.
La faille existait depuis fin juin et l'extraction massive date de la nuit du 4 au 5 octobre
L'attaque ne se résume pas à une seule nuit. Voici la chronologie telle qu'elle ressort des informations disponibles.
| Période | Ce que l'on sait |
|---|---|
| Fin juin | La vulnérabilité exploitée est présente dans le logiciel |
| Avant le 16 septembre | Des accès frauduleux ont pu avoir lieu |
| Du 27 septembre au 5 octobre | Des accès non autorisés sont détectés |
| Nuit du 4 au 5 octobre | Extraction massive d'environ 135 Go de données |
| 5 octobre | Les accès frauduleux sont bloqués |
L'éditeur français a bloqué les accès frauduleux dès le 5 octobre et corrigé la vulnérabilité exploitée. Il a aussi renforcé ses mécanismes d'authentification et limité la possibilité d'une nouvelle extraction massive.
Comme l'extraction a visé les fiches des hôtels utilisant le logiciel, un séjour passé dans l'un d'eux peut figurer dans les données volées.
Cinq réflexes pour ne pas tomber dans le piège après un séjour à l'hôtel
Ces gestes découlent directement du mode opératoire décrit : lien à cliquer, acompte à verser, message envoyé par WhatsApp.
- Ne cliquez sur aucun lien reçu par message pour « vérifier » ou « confirmer » une réservation.
- Ne versez aucun acompte réclamé par message sans l'avoir confirmé auprès de l'hôtel.
- Appelez l'hôtel vous-même, avec des coordonnées que vous avez trouvées de votre côté, pas celles figurant dans le message.
- Méfiez-vous des messageries : des escroqueries ont déjà été repérées sur WhatsApp.
- Surveillez vos relevés et prévenez votre banque si vous avez saisi votre carte sur une page douteuse.
Le principe général est simple : un message qui vous presse d'agir ou de payer n'est pas une information, c'est le schéma de l'arnaque.
La liste des hôtels n'est pas publique, les établissements doivent prévenir la CNIL et leurs clients
Pour l'heure, ni la liste des hôtels concernés ni le nombre de clients touchés n'ont été communiqués. Vous ne pouvez donc pas vérifier en ligne si votre séjour figure dans la fuite.
Medialog Hôtel a conseillé aux établissements de notifier la violation de données à la CNIL et d'en informer leurs clients. Vous pourriez donc recevoir une information de l'hôtel où vous avez séjourné.
Si ce message arrive, lisez-le avec le même soin que les autres. Une vraie notification prévient d'une fuite. Elle n'a aucune raison de vous demander de payer ou de saisir vos informations bancaires sur un lien.
Vos questions
Mes coordonnées bancaires ont-elles été volées ?
D'après les informations disponibles, non : les fiches n'intègrent ni données bancaires ni photographies des cartes d'identité. En revanche, les identités, les coordonnées et les informations de réservation sont concernées. Elles suffisent à fabriquer des arnaques destinées à récupérer vos données bancaires.
Comment savoir si l'hôtel où j'ai séjourné est concerné ?
La liste des hôtels touchés n'a pas été communiquée, pas plus que le nombre de clients concernés. Medialog Hôtel a conseillé aux établissements de prévenir la CNIL et leurs clients. Vous pouvez aussi interroger directement l'hôtel, par des coordonnées que vous avez vous-même trouvées.
Que faire si j'ai déjà cliqué sur un lien ou payé un acompte ?
Le but des escrocs est de mettre la main sur vos données bancaires. Si vous avez saisi des informations de carte, contactez sans attendre votre banque. Dans tous les cas, cessez de répondre aux messages suspects et ne payez plus rien par ce canal.
Sources : 20 Minutes.