Fuite de données chez Booking.com : des données de réservation exposées, un nombre de victimes non communiqué

Les données de réservation exposées

Des porte-parole de Booking.com ont confirmé l’incident auprès du site spécialisé BleepingComputer et de TechCrunch. Des tiers non autorisés ont pu consulter les détails de réservations : noms des clients, adresses email, numéros de téléphone et messages échangés avec les établissements d’hébergement.

Le message envoyé aux clients citait aussi les adresses postales. Booking.com a toutefois précisé ensuite à TechCrunch que ces adresses n’avaient pas été dérobées. L’entreprise indique également que les données financières n’ont pas été consultées.

Ces informations suffisent pourtant à monter une arnaque crédible. Un escroc qui connaît votre nom, votre établissement et les échanges que vous avez eus avec lui écrit un message presque impossible à distinguer d’un vrai. Les détails d’une réservation révèlent aussi des dates de séjour et des habitudes de voyage.

Une alerte par email seulement, qui sème le doute

L’alerte est arrivée uniquement par email, sans notification dans l’application mobile de Booking.com. Résultat : des clients ont douté de l’authenticité du message, par crainte justement d’un hameçonnage aux couleurs de la plateforme.

Sur Reddit, des utilisateurs signalent de plus avoir reçu, notamment sur WhatsApp, des messages frauduleux qui reprennent les détails de leur séjour. À ce stade, aucun lien avec l’incident n’est établi. Ces témoignages décrivent toutefois le scénario à redouter.

Le RGPD encadre cette communication. Selon l’article 34, lorsque la violation présente un risque élevé pour les personnes, l’entreprise les informe « dans les meilleurs délais », en termes clairs et simples. Le message authentique décrit la nature de la violation, donne un point de contact, expose les conséquences probables et liste les mesures prises. Un email qui réclame un paiement ou vos coordonnées bancaires ne correspond donc pas à cette description.

Après la fuite de données Booking, les bons réflexes

Vérifiez d’abord l’adresse de l’expéditeur de tout email qui se réclame de Booking.com. Ne cliquez sur aucun lien d’un message suspect : ouvrez plutôt l’application officielle ou tapez l’adresse du site vous-même.

Changez ensuite votre mot de passe Booking.com et activez la double authentification. Notre guide sur la double authentification et son activation explique la démarche.

Refusez enfin toute demande de paiement par virement ou par message au sujet d’une réservation, même si l’expéditeur cite le nom de votre hôtel et vos dates. Les données volées servent précisément à rendre ces appels, SMS et messages WhatsApp crédibles. Par sécurité, surveillez aussi vos relevés bancaires.

Vos droits face à Booking.com

L’article 15 du RGPD vous permet de demander à Booking.com la confirmation que l’entreprise traite des données vous concernant, et d’en obtenir une copie. Formulez la demande depuis votre compte ou par écrit, et conservez une trace de l’envoi.

L’article 33 impose aussi à l’entreprise de notifier la violation à l’autorité de protection des données compétente dans les 72 heures suivant sa découverte. L’article 32 l’oblige enfin à appliquer des mesures de sécurité adaptées au risque. Pour comprendre ce que doit contenir un message de ce type, consultez notre article sur la communication d’une violation aux personnes notifiées.

Sources

BleepingComputer a révélé la réinitialisation des codes PIN dans New Booking.com data breach forces reservation PIN resets.

TechCrunch rapporte les précisions de Booking.com sur les adresses postales et les données financières dans Booking.com confirms hackers accessed customers’ data.

Le média néerlandais DutchNews a relayé l’avertissement envoyé aux clients dans Booking.com warns customers after reservation data breach.

Les articles 15, 32, 33 et 34 se lisent dans le règlement (UE) 2016/679 (RGPD) sur EUR-Lex.

Questions fréquentes