Fraudes à la réservation: le grand malentendu !

Il existe encore des hébergeurs qui, lorsque les clients prennent la peine (encore) de les appeler, leur demandent de leur fournir leur numéro de carte bancaire par téléphone. Cette pratique, manifestement pas d'un autre temps, est pourtant la principale brèche de sécurité dans les nombreuses escroqueries à la carte bancaire générées par l'univers du tourisme. En 2025, les voyageurs se détourneront des "professionnels" qui persisteront dans cette pratique ...

Le malentendu est de taille ! Si seulement 11% des voyageurs ont déclaré préférer payer par téléphone, la majorité des hôteliers interrogés par Adyen - la plateforme qui gère les paiements de Booking, par exemple - soit 51 % sont convaincus que le paiement par téléphone est une option populaire pour les clients.

De leur côté, 26 % des clients interrogés ont déclaré qu'ils ne réserveraient plus dans un hôtel si leurs données de carte de crédit leur étaient demandées de cette manière, tandis que 71% des voyageurs s'inquiètent des risques d'escroquerie générés par ce moyen des plus rudimentaires.

Autre fait majeur, près d'un tiers des clients (26 %) ont déclaré qu'ils ne réserveraient plus dans un hôtel si leurs données de carte de crédit leur étaient demandées par téléphone ! Evidemment, des deux "parties" concernées, c'est bien le client qui a (toujours) raison, car les fraudes aux paiements s'envolent (surtout dans l'univers du tourisme) et les préjudices moyens pour un voyageur, pour l'année 2024, se sont élevés à 670 euros. Et, de plus en plus, dans un tel cas, c'est bien la responsabilité de l'hébergeur qui peut être recherchée aussi ...

MoTo or not MoTo ?

Selon cette étude annuelle, 10% des clients d'hôtels déclarent avoir été victimes de fraude au paiement lors de réservations ou après leur séjour; ce qui est énorme !

Le secteur est, en effet, particulièrement exposé à la fraude aux paiements avec des pratiques "traditionnelles" comme les paiements par téléphone qui sont en tête des brèches de sécurité. En bonne pratique, en effet, seul un hébergeur titulaire d'une option MoTo (Mail Order Téléphone Order) sur son contrat de vente à distance peut garantir une certaine sécurité pour ce genre de transactions. Cependant, beaucoup trop d'hébergeurs appliquent cette pratique sans disposer de cette option. Et là, les ennuis sérieux peuvent commencer.

L'Observatoire de la Sécurité des Moyens de Paiement (OSMP)a d'ailleurs récemment recommandé de limiter les paiements MoTo aux seuls cas où un autre moyen de paiement n'est pas possible. C'est pour cela, d'ailleurs, que ce fonctionnement est en pleine refonte après des contrôles de plus en plus pressants de la Banque de France qui a l'intention de prévenir plus efficacement le niveau de fraude associé qui est très élevé, via son plan de sécurisation lancé le 10 juin dernier.

En effet, la saisie manuelle des données de carte bancaire par un commerçant (ou un de ses employés) est vouée à disparaître puisqu’elle ne garantit absolument pas la sécurisation des transactions et la protection des données de carte bancaire du client. Ces dernières peuvent être notées, par exemple, sur un papier qui peut être détourné ou, pire, entreposées dans un tableur pour une utilisation ultérieure.

Sécurité négligée ? Réservations manquées !

En 2025, les exigences des consommateurs (largement relayées par les régulateurs) devraient avoir des effets encore plus prégnants sur le volume de vos réservations directes. Si seulement 11% des clients tolèrent encore le paiement par téléphone, il s'agit certainement des "derniers des mohicans" car ce taux, selon l'étude, est appelé à diminuer brutalement ces prochains mois.

D'autres clients sont plus radicaux: 38% affirment d'ores et déjà qu'ils ne réserveront plus dans un hébergement dont le gestionnaire ou le propriétaire leur demande leurs données de carte de crédit par téléphone.

Les alternatives sont pourtant simples :

• proposer des réservations en prise de garantie (et paiement à l'arrivée) via votre moteur de réservation ou un lien sécurisé envoyé au client que vous avez au téléphone,
• proposer de payer directement en ligne en leur adressant un lien complet et sécurisé où figure leur devis (ou dossier de réservation) et leur lien de paiement entièrement sécurisé,

C'est aussi, d'après l'étude, ce que souhaitent, respectivement, 43% et 36% des clients qui avaient accepté, jusque là, de donner leurs coordonnées par téléphone.

Cette pratique vertueuse est non seulement bonne pour vos clients (leur sécurité) et vos affaires (votre taux de conversion), mais elle est aussi plus sécure pour vos finances. Car, en cas de contentieux sur une fraude, en général, l'addition est pour vous, selon les modalités en vigueur dans les cas de répudiation de paiements (ce que l'on appelle le charge back dans le jargon bancaire).

Par ailleurs, laisser végéter des données bancaires dans la nature (et que ce soit su sans le vouloir vraiment; par exemple, après le départ d'un employé malveillant) peut avoir des conséquences lourdes sur le taux de risque auquel est exposée votre entreprise: selon l'étude Adyen, en 2024, 38% des entreprises du tourisme reconnaissent avoir connu une augmentation des attaques frauduleuses. Pour les cas les plus extrêmes, 7% d'entre elles déclarent avoir même été victimes de fraude entre 15 et 20 fois tout au long de l'année !

Dans ce cas là, la perte moyenne due à la fraude et aux coûts liés aux rétrofacturations (les fameuses répudiations) a pu s'élèver, en moyenne, à 1 million d'euros (vous avez bien lu !).

La sécurité des paiements de vos clients n'est pas un point mineur et personne n'a d'excuse valable pour ne pas s'y mettre car il suffit de s'équiper d'un bon système de paiement (Adyen, Stripe, Payzen, etc) pour avoir déjà atteint un plancher de sécurité acceptable. Il existe ensuite des séries de bonnes pratiques à adopter et à partager avec vos collaborateurs qui viennent renforcer cette sécurité et, par voie de conséquence, contribuer à rassurer vos clients et renforcer votre image de marque. En 2025, le respect du client commencera toujours par celui de ses données personnelles et bancaires ...