Escroqueries par détournement de réservation : l'escroquerie aux voyages qui ressemble à s'y méprendre à votre véritable réservation d'hôtel

Vous avez hâte de partir en voyage. Vous réservez un hôtel. Tout semble normal. 

Arrive alors un message d'apparence anodine, semblable à un message de suivi habituel du service clientèle. Il fait référence à votre voyage, notamment au nom de l'hôtel, à vos dates de séjour et à vos informations de paiement. 

Il semble légitime, mais il ne l'est pas. 

Cette technique s'inscrit dans une tendance croissante d'escroqueries que les chercheurs en menaces de Gen (la société derrière Norton) appellent l'escroquerie par détournement de réservation. Elle est si efficace car elle exploite des informations confidentielles que seuls vous et l'hôtel auprès duquel vous avez réservé devriez connaître.  

En avril 2026, Booking.com, une grande plateforme de réservation de voyages en ligne, a averti que des tiers non autorisés avaient accédé aux informations de réservation de certains clients, notamment leurs noms, coordonnées et données de réservation, selon un reportage sur la violation de données publié par The Guardian. Le nombre de clients concernés n'a pas été divulgué.

Qu'est-ce qu'une escroquerie par détournement de réservation ?

Une escroquerie par détournement de réservation est un type d'escroquerie de phishing ciblée qui utilise des informations réelles de réservation d'hôtel pour donner une apparence légitime aux messages, afin d'inciter les voyageurs à communiquer leurs coordonnées de paiement ou des informations sensibles. 

Dans les cas les plus sophistiqués, les escrocs accèdent aux systèmes des hôtels ou aux plateformes de réservation comme Booking.com, ce qui leur permet de contacter les clients par des canaux normalement considérés comme fiables et sécurisés. Cela signifie que les messages d'escroquerie peuvent non seulement sembler authentiques, mais aussi être transmis via une plateforme légitime, ce qui les rend nettement plus difficiles à détecter. 

C'est ce qui rend cette escroquerie si efficace : elle ne repose pas sur votre confiance envers un message étrange provenant d'une source invérifiable.

Ce que les chercheurs de Norton ont découvert

Les chercheurs de Norton ont observé une hausse du nombre d'escroqueries qui exploitent de véritables données de réservation et des plateformes de voyage de confiance. En quelques mois seulement, ils ont en effet identifié 350 hébergements compromis dans 50 pays, parmi lesquels des hôtels, des appartements, des auberges de jeunesse, des complexes hôteliers, des maisons d'hôtes, des villas et d'autres types d'hébergement.

Principales conclusions : 

• Les escrocs ciblent de plus en plus les voyageurs dont ils savent qu'ils ont des réservations en cours, et non des utilisateurs au hasard. 
• Les messages sont transmis par des canaux de confiance, notamment des plateformes de réservation et des e-mails à l'apparence officielle. 
• Les attaques s'accompagnent fréquemment de demandes de paiement urgentes liées à des réservations légitimes. 
• L'utilisation de véritables informations de réservation rend ces escroqueries nettement plus efficaces que les escroqueries de phishing traditionnelles. 

L'émergence des escroqueries par détournement de réservation reflète une tendance plus large : les escrocs délaissent les messages génériques au profit d'attaques très contextuelles et personnalisées. 

Jusqu'où s'est propagée l'escroquerie par détournement de réservation

Ensemble, les 350 établissements compromis identifiés ont une capacité d'accueil maximale d'environ 82 000 personnes. En appliquant un taux d'occupation prudent de 50 % et une durée moyenne de séjour de 2,5 nuits, cela représente environ six millions de séjours par an pour lesquels les données de réservation pourraient potentiellement être exposées à des escrocs.

Les escroqueries par détournement de réservation sont concentrées en Europe, mais le problème est mondial. L'Allemagne comptait le plus grand nombre d'hébergements compromis, suivie de la France, du Royaume-Uni, de l'Italie et de l'Espagne. Ensemble, les cinq principaux pays européens représentent environ 45 % de l'ensemble des hébergements compromis identifiés. Les cinq villes les plus touchées sont Paris, Londres, Berlin, Lisbonne et Amsterdam.

Comment les escrocs accèdent aux détails de votre réservation

L'un des aspects les plus troublants de cette escroquerie est la quantité d'informations dont semblent disposer les escrocs. Ils obtiennent les informations nécessaires pour vous cibler en s'attaquant d'abord au personnel des hôtels ou des plateformes de réservation, et parviennent parfois à accéder aux détails de votre réservation par le biais des techniques suivantes : 

•  Compromission de comptes d'hôtels ou de partenaires après avoir ciblé le personnel hôtelier par des attaques de phishing ou exploité des mots de passe faibles.
• Exploitation de fournisseurs tiers connectés aux systèmes de réservation. 
•  Accès aux outils de messagerie de la plateforme pour usurper l'identité d'établissements légitimes. 

Les prétextes utilisés pour piéger le personnel hôtelier peuvent sembler tout à fait banals : faux avis de réclamation client, demandes de vérification de réservation, ou encore e-mails de facturation ou de paiement conçus pour inciter les employés à ouvrir des pièces jointes ou à saisir leurs identifiants. 

Ce qui se passe en coulisses 

Les chercheurs de Norton ont découvert que certaines des pages web frauduleuses vers lesquelles les victimes sont redirigées dans les escroqueries par détournement de réservation reposent sur les mêmes modèles de base. Ils présentaient les mêmes chemins de fichier internes, le même langage de validation de carte et les mêmes structures de page, avec des noms d'hôtels, des dates de séjour et des prix insérés dynamiquement pour chaque victime. 

Cela suggère une opération fondée sur des kits, où les escrocs génèrent à grande échelle des pages de phishing adaptées à chaque bien immobilier, plutôt que de les créer une à une manuellement. De plus, une partie de l'infrastructure utilisée pour ces pages provient de services Internet légitimes, ce qui supprime bon nombre des signaux d'alerte habituels qu'un voyageur prudent pourrait repérer en cherchant des signes d'escroquerie, comme des pages qui se chargent lentement ou l'absence d'options d'assistance. 

Déroulement de l'escroquerie

Une escroquerie par détournement de réservation commence souvent par un message lié à une réservation de voyage que vous avez récemment effectuée. Il peut arriver par e-mail, SMS, WhatsApp ou même via la messagerie interne d'une plateforme de réservation. Le message d'ouverture fait généralement référence à de véritables détails de réservation, ce qui évite d'éveiller immédiatement les soupçons. 

Le message peut inventer un prétexte qui exige votre attention, comme un problème de paiement ou une demande de vérification de votre réservation. Il entretient souvent un sentiment d'urgence, laissant entendre que votre réservation pourrait être annulée si vous n'agissez pas rapidement. 

Vous êtes ensuite redirigé vers une page de paiement qui semble légitime, mais qui est en réalité conçue pour récupérer vos informations financières ou personnelles. Pour dissiper toute hésitation, la page peut vous assurer que les fonds seront réservés puis remboursés dans un délai de 10 minutes, ce qui donne à la demande l'apparence d'une étape de vérification classique. 

Certaines pages frauduleuses intègrent également un faux chat d'assistance en direct qui semble faire partie du processus de réservation. Dans ces cas, l'attaquant peut être prêt à répondre à vos questions, à justifier l'échec d'une « validation » de paiement et à vous inciter à réessayer, maintenant ainsi l'échange suffisamment longtemps pour obtenir les informations recherchées. 

Pourquoi cette escroquerie est si convaincante

Ce qui distingue cette escroquerie, c'est son caractère très personnel. Au lieu de deviner, les escrocs savent peut-être déjà où vous voyagez, quel hôtel vous avez réservé et combien de temps vous y séjournez. 

Ce contexte crée un puissant sentiment de confiance. Le message ne semble ni aléatoire ni déplacé. Cela semble faire partie de votre expérience de voyage habituelle. 

Et c'est précisément là tout l'enjeu. Les escrocs ne se contentent plus d'essayer de vous piéger avec des e-mails mal rédigés. Ils exploitent des informations réelles et des moments réels de votre vie pour donner à leurs demandes une apparence parfaitement légitime. 

Ce que les escrocs peuvent faire de vos informations

Tomber dans le piège d'une escroquerie par détournement de réservation peut entraîner bien plus qu'un simple prélèvement frauduleux. 

Selon les informations partagées, les escrocs peuvent effectuer des achats non autorisés avec vos données de paiement, voler vos informations personnelles pour une usurpation d'identité, tenter d'autres escroqueries à partir de vos données ou perturber vos projets de voyage si votre réservation est affectée.  

Les conséquences peuvent se prolonger au-delà de votre voyage, surtout si des informations sensibles sont compromises. 

Comment éviter une escroquerie par détournement de réservation 

Le principe le plus important à retenir est de faire confiance à votre réservation d'origine, et non aux messages reçus par la suite. Si l'on vous demande un jour d'agir concernant votre réservation, prenez le temps de réfléchir et vérifiez de manière indépendante l'authenticité du message. Quelques étapes simples peuvent vous aider à vous protéger contre les pertes matérielles : 

• Ne cliquez pas sur les liens de paiement dans les messages : Prenez le temps de vérifier la légitimité du message, même s'il semble provenir de votre hôtel ou de votre plateforme de réservation.  
• Accédez directement à la source : Connectez-vous à votre site de réservation ou contactez l'hôtel par les canaux de contact officiels. Si le message suspect provient de la plateforme elle-même, essayez de contacter l'hôtel ou la plateforme de réservation par téléphone, à l'aide des coordonnées figurant dans la confirmation de réservation d'origine. 
• Méfiez-vous de l'urgence : Ne vous sentez pas pressé d'agir rapidement. Un ton d'urgence dans un message est souvent le signe d'une escroquerie. 

De même, gardez à l'esprit que Booking.com a déclaré qu'il ne demandera pas à ses clients de partager les détails de leur carte de crédit par e-mail, par téléphone, sur WhatsApp ou par SMS. Si un message demande l'une de ces informations sensibles, il s'agit d'une escroquerie, même s'il paraît tout à fait légitime.

Ce qu'il faut faire si vous pensez avoir été ciblé

Si vous pensez avoir interagi avec un message frauduleux, agissez rapidement. Une réaction rapide peut contribuer à limiter les dommages potentiels. 

1. Contactez immédiatement votre banque ou votre émetteur de carte de crédit. 
2. Surveillez vos comptes pour détecter toute activité non autorisée. 
3. Modifiez les mots de passe de vos comptes de réservation et de messagerie. 
4. Signalez l'incident à la plateforme de réservation et aux autorités compétentes. 

Pourquoi ces escroqueries sont-elles en hausse ?

Les escroqueries comme ce détournement de réservation s'inscrivent dans une tendance : l'adoption par les pirates de tactiques plus avancées et plus ciblées. Au lieu de s'appuyer sur des escroqueries par phishing génériques, les escrocs tentent d'exploiter des informations personnelles, des plateformes de confiance et des messages sur mesure pour déguiser leurs communications en notifications de routine, qui font partie du quotidien. 

Parallèlement, le niveau constamment élevé des réservations de voyage multiplie les occasions pour les escrocs d'exploiter des réservations actives et de cibler les voyageurs au moment précis où ils attendent des messages.  

Le résultat : un nouveau type d'escroquerie qui n'a rien de suspect. 

Aujourd'hui, la sécurité en ligne ne se résume plus à repérer les signaux d'alerte évidents : les escroqueries sont devenues trop convaincantes pour se fier uniquement à son intuition. Il s'agit plutôt de disposer de solides protections de cybersécurité, qui ajoutent une couche de sécurité supplémentaire, même en cas de relâchement de votre vigilance.  

Un logiciel basé sur l'IA comme Norton 360 Deluxe peut vous aider à garder une longueur d'avance sur les escrocs en bloquant les sites douteux, en détectant les éventuelles attaques de phishing et en protégeant vos informations personnelles, pour que vous puissiez voyager (et réserver) en toute confiance. 

Mesures que les hébergements peuvent prendre

Les escroqueries par détournement de réservation commencent souvent par cibler l'hôtel ou un autre hébergement de vacances, et non le voyageur. Voici les mesures que les hébergeurs peuvent adopter pour réduire le risque.

• Activation de l'authentification multifacteur : Utilisez l'authentification multifacteur (AMF) sur tous les comptes pouvant accéder aux données des clients, y compris les comptes partenaires des plateformes de réservation et les systèmes de gestion immobilière.
• Formation du personnel à la reconnaissance des appâts : Les fausses plaintes de clients, les demandes urgentes de vérification de réservation et les e-mails de facturation ou de paiement sont des points d'entrée courants, conçus pour voler des identifiants ou installer des malwares.
• Contrôle strict de l'accès aux données des clients : Limitez le nombre de personnes pouvant consulter les détails des réservations et surveillez les connexions inhabituelles ou les comportements anormaux d'envoi de messages qui pourraient signaler un compte compromis.
• Plan d'action clair : Si un compte a pu être compromis, il est nécessaire d'en avertir rapidement les clients. Plus le délai est long, plus le nombre de victimes d'une seule violation de données peut augmenter.
• Protection au niveau de l'appareil : Maintenez le logiciel de cybersécurité à jour sur tous les appareils utilisés pour gérer les réservations, les messages des clients ou les e-mails de paiement, car certaines escroqueries sont conçues pour installer des malwares via des pièces jointes d'apparence ordinaire. Les petits établissements d'hébergement ou les établissements familiaux peuvent envisager d'utiliser un logiciel de cybersécurité pour les petites entreprises.