Le groupe Kempinski a confirmé le 12 novembre 2026 qu’un identifiant d’accès appartenant à l’un de ses partenaires technologiques avait servi à consulter des réservations de clients. Ces données alimentent depuis de fausses demandes de paiement envoyées par courriel, SMS et WhatsApp au nom de ses hôtels. Pour un hôtel indépendant, l’affaire pose une question très simple : combien de prestataires peuvent ouvrir vos réservations ce soir, et avec quel mot de passe ?
Les faits confirmés par Kempinski
Le groupe, basé à Munich, a écrit le 11 novembre aux clients qui avaient une réservation à venir, puis a publié un avis de sécurité en anglais daté du 12 novembre. L’Hotel Adlon de Berlin, face à la porte de Brandebourg, fait partie des établissements concernés : une porte-parole l’a confirmé à l’agence allemande dpa.
Une personne non autorisée a utilisé l’identifiant d’un partenaire technologique tiers. Elle a pu lire les noms des clients, leurs dates de séjour, le nom de l’hôtel, les numéros de confirmation, les numéros de téléphone mobile et les adresses électroniques. Les cartes bancaires ne sont pas en cause, car elles ne sont pas stockées dans le système touché. Pour les numéros de passeport ou de visa, Kempinski écrit qu’il ne peut ni confirmer ni exclure leur exposition.
Le groupe dit avoir révoqué l’identifiant, fermé la voie d’accès, lancé une enquête avec un spécialiste indépendant en cybersécurité et informé les autorités de protection des données compétentes, sans préciser lesquelles. Il travaille aussi avec le partenaire pour mieux surveiller les identifiants confiés aux prestataires.
Plusieurs points restent sans réponse officielle à ce jour : le nombre de clients touchés, la liste des hôtels, la période des réservations exposées, la date de découverte de l’accès et le nom du partenaire. On ne sait pas non plus comment l’identifiant a été obtenu.
Les messages frauduleux citent le vrai numéro de confirmation et les vraies dates du séjour. Ils réclament un paiement, ou la confirmation des coordonnées bancaires par un lien, pour « sécuriser » la réservation. Kempinski rappelle qu’il ne demande jamais de payer par un lien envoyé sur WhatsApp. Aux clients qui ont déjà payé, le groupe propose une attestation écrite indiquant que le débit n’a été ni autorisé ni traité par l’hôtel.
Un scénario déjà vu en France
L’hôtellerie française a connu la même mécanique cet automne. Selon la presse, une faille dans un service web de Medialog, éditeur de logiciel hôtelier, a été exploitée entre le 27 septembre et le 5 octobre 2026. Environ 1 500 hôtels utilisateurs seraient concernés. Dans les jours suivants, des voyageurs ont reçu sur WhatsApp des messages reprenant leur réservation exacte, avec un lien vers un faux site de paiement.
Booking.com vit le même problème depuis plusieurs années. Des pirates piègent le personnel des hôtels avec de fausses réclamations, récupèrent les identifiants de l’extranet partenaire, puis écrivent aux clients avec les détails réels de leur séjour.
À chaque fois, l’hôtel n’a rien vu passer dans ses propres outils. Il apprend l’affaire quand un client appelle la réception pour demander pourquoi on lui réclame un second paiement. Le client, lui, avait toutes les raisons d’y croire : le message connaissait sa date d’arrivée.
Le RGPD vous rend comptable de vos prestataires
On lit beaucoup, depuis jeudi, que la faille vient du sous-traitant et pas de l’hôtel. Pour le client, la distinction n’a aucun sens : il a réservé chez vous. Pour le RGPD non plus. L’hôtel reste responsable du traitement des réservations, et l’article 28 l’oblige à ne confier ses données qu’à des prestataires présentant des garanties suffisantes.
Le contrat doit imposer au prestataire les mesures de sécurité de l’article 32, son aide en cas d’incident et l’obligation de vous prévenir dans les meilleurs délais s’il subit une violation de données (article 33, paragraphe 2). Relisez les conditions générales de votre logiciel de gestion ou de votre gestionnaire de canaux. Y trouvez-vous un délai d’alerte chiffré, la liste des sous-traitants ultérieurs, une description des mesures de sécurité ? Si la réponse est non, le contrat ne remplit pas l’article 28.
Lister qui accède à vos réservations
Un hôtel de trente chambres travaille couramment avec une dizaine d’outils connectés à ses réservations. Chacun ouvre des comptes au personnel, au support de l’éditeur, parfois à un intégrateur ou à une agence. Personne ne tient la liste complète, et les comptes des saisonniers partis en septembre restent souvent actifs jusqu’au printemps suivant.
| Outil | Qui peut y entrer | Question à poser |
|---|---|---|
| Logiciel de gestion hôtelière | Réception, direction, support de l’éditeur, intégrateur | Le support se connecte-t-il avec un compte nominatif et une double authentification ? |
| Gestionnaire de canaux | Équipe commerciale, éditeur, plateformes connectées | Quelles plateformes reçoivent les coordonnées des clients ? |
| Extranets des plateformes de réservation | Personnel, anciens salariés, agences, partenaires connectés | Combien de comptes existent, et qui s’est connecté ce mois-ci ? |
| Messagerie clients, conciergerie numérique | Réception, éditeur de l’outil | Un tiers peut-il écrire aux clients depuis vos canaux ? |
| Lien de paiement, terminal de vente à distance | Réception, comptabilité, prestataire de paiement | Depuis quel domaine et par quel canal partent vos vrais liens ? |
| Site, moteur de réservation, outil de fidélisation | Agence web, prestataire marketing | L’agence a-t-elle encore besoin de cet accès ? |
Pour chaque ligne, notez le nom du prestataire, les comptes ouverts, les droits accordés, la date de dernière connexion et la personne chargée de fermer l’accès au départ d’un salarié ou à la fin du contrat. Un compte partagé du type « reception@ » utilisé par six personnes ne permet de savoir ni qui a consulté quoi, ni qui a laissé fuir le mot de passe.
Exiger la double authentification de chaque partenaire
Un identifiant volé ne sert à rien si la connexion demande en plus un code tiré d’une application ou d’une clé physique. La CNIL a adopté le 20 mars 2025 une recommandation sur l’authentification multifacteur et invite à l’activer chaque fois qu’un service le permet. Elle met en garde contre certaines méthodes souvent prises à tort pour un second facteur, comme le code envoyé par courriel.
Le RGPD ne cite pas la double authentification en toutes lettres. L’article 32 exige des mesures adaptées au risque, et un accès distant à des milliers de réservations, utilisé ensuite pour escroquer des clients, fait partie des risques élevés. Demandez par écrit à chaque partenaire si la double authentification protège l’accès à vos données, y compris pour ses techniciens de support, et inscrivez la réponse dans le contrat. Activez-la aussi sur vos propres comptes d’extranet et de messagerie.
Dire à vos clients comment vous demandez un paiement
La fraude marche parce que le client ignore vos habitudes. Écrivez-les dans la confirmation de réservation, sur le site et dans le message d’avant séjour, avec une phrase courte : « Nous ne vous demanderons jamais de payer par un lien reçu sur WhatsApp ou par SMS. En cas de doute, appelez la réception au numéro figurant sur notre site. »
Adaptez la phrase à vos pratiques réelles. Beaucoup d’hôtels envoient de vrais liens de paiement pour un acompte ou un solde. Dans ce cas, précisez le canal utilisé et l’adresse du site de paiement, puis tenez-vous-y. Une consigne contredite par votre propre réception rendra le faux message encore plus crédible.
Si la fuite arrive quand même
Dès que le prestataire vous alerte, le délai de 72 heures pour notifier la violation à la CNIL court à partir du moment où vous en avez connaissance (article 33). Quand des escrocs écrivent déjà à vos clients, le risque pour eux est élevé, et l’article 34 vous oblige à les prévenir directement : ce qui s’est passé, les données touchées, ce que vous faites et ce qu’ils doivent faire.
La réaction de Kempinski donne une base utile : accès coupé, enquête externe, autorités informées, adresse dédiée pour vérifier un message suspect, attestation pour les clients qui ont payé. Consignez chaque étape dans votre registre des violations, même si l’enquête montre finalement que vos clients n’ont pas été touchés.
- cartographie des accès des partenaires : outils de réservation, plateformes et logiciel de gestion de l’hôtel ;
- revue des contrats de sous-traitance au regard de l’article 28 ;
- procédure interne contre la fraude au paiement ;
- modèle de message aux clients en cas de fuite de données.
Sources
- La Revue des Hôtels, « Fausses demandes de paiement : le groupe Kempinski confirme une fuite de données de clients », 14 novembre 2026
- La Tribune de l’Hôtellerie, « Kempinski victime d’un vol de données clients, l’Hotel Adlon touché », 14 novembre 2026
- FTN News, « Kempinski Data Breach Triggers Fake Payment Requests », 13 novembre 2026
- Tagesspiegel, cyberattaques contre Kempinski et le restaurant Borchardt, novembre 2026
- Selectra, fuite Medialog et faux messages WhatsApp de réservation, octobre 2026
- eSecurity Planet, campagne d’hameçonnage contre les comptes partenaires Booking.com, 18 février 2026
- CNIL, recommandation relative à l’authentification multifacteur, 2025