une-nl

Cybersécurité dans le tourisme : pourquoi les attaques se multiplient

Thomas

12 nov. 2026 9 min de lecture

Les derniers jours d'octobre et les premiers de ce début novembre 2026 resteront comme une séquence particulièrement tendue pour l’écosystème numérique du tourisme. Entre le 22 octobre et le 3 novembre, elloha (mais aussi d'autres grands acteurs du tourisme) ont fait face à plusieurs vagues d’attaques ciblées. En toute transparence, cet épisode n'est pas isolé. Il s’inscrit dans une offensive d’une ampleur inédite (vraisemblablement, venue de Russie) qui frappe simultanément les plus grands acteurs mondiaux du voyage et des loisirs. Lumière sur une situation délicate et sur les mesures concrètes mises en place pour sécuriser votre activité.

Quand elloha se fait toucher pour la 1ère fois

Dans la vie d'une plateforme comme elloha (ce que l'on appelle une plateforme SaaS, c'est-à-dire, une suite d'outils hébergés sur des serveurs extérieurs), les attaques de hackers ne sont pas rares: "Chaque semaine, et cela va en s'intensifiant, nous controns des attaques de plus en plus pernicieuses, mais c'est la première fois que nos protections sont franchies, souligne Bruno Delmas, CEO et fondateur de elloha. Nous investissons d'importantes sommes sur notre infrastructure hébergée chez Microsoft et cela nous procure des standards de sécurité très élevés. Mais la sophistication et la perversité des hackers, aidés par l'IA, est sans commune mesure avec ce que nous connaissions il y a quelques semaines encore ..."

Dès la fin du mois d'octobre, les équipes techniques ont détecté des tentatives d'intrusion et d'hameçonnage (phishing) menées en plusieurs vagues successives jusqu'au 3 novembre par le même (groupe de) hacker(s). L'objectif des cybercriminels est toujours le même dans le secteur du voyage : récupérer des identifiants d'accès pour usurper l'identité des professionnels auprès de leurs clients finaux et tenter de détourner des paiements ou de soutirer des données bancaires sous le prétexte de garantir leur dossier de réservation.

"C'est du phishing classique (du hameçonnage), souligne Bruno Delmas. Pour tromper les consommateurs, les fraudeurs cherchent des données vraisemblables pour prétexter un message vers leurs cibles: dans notre cas, c'est le dossier d'un prochain voyage. Dans d'autres cas, ils volent les données de sécurité sociale ou des impôts pour prétexter un remboursement et, dans tous les cas, ils cherchent à abuser le consommateur avec des messages (mails, WhatsApp, sites plus vrais que nature) pour récupérer des données bancaires et leur soutirer de l'argent. Heureusement, face à la multiplication de ces types de fraudes et leur large médiatisation, les consommateurs sont de plus en plus prudents ...".

Le souci, c'est que ces attaques sont désormais organisées sous forme multiples pour créer un véritable chaos (les fraudeurs attaquent par plusieurs biais) en espérant désorganiser les équipes qui se trouvent en face pour retarder leur contre-attaque. Dans le cas de elloha, les protocoles sont clairs face à ce genre d'agression: la priorité des équipes est de renforcer immédiatement la surveillance des connexions et de bloquer les vecteurs d'attaque identifiés et de comprendre par quel "trou de rat" sont passés les fraudeurs (dans ce cas présent, un compte d'un hôtelier qui avait refusé d'activer la double authentification et qui s'était fait voler tous ses mots de passe). Une fois que le chemin du fraudeur est identifié, intervient le durcissement des accès et le contrôle des sessions. Ensuite, quand l'incendie est circonscrit, le travail de recensement des données exposées peut démarrer et, seulement dans ce cas, des alertes et des consignes de sécurité sont diffusées auprès des utilisateurs de la plateforme afin d'éviter toute compromission de compte via des liens frauduleux.

Il faut dire que ces opérations prennent du temps. Selon un des ingénieurs de elloha, les premières contre-attaques "étaient menées comme dans un film de guerre. On contrait un accès et on bloquait des données, et le hacker repassait avec d'autres identifiants qu'il reconstituait par une IA jusqu'à ce que le bon mot de passe soit accepté. C'était une attaque en règle, sous un feu nourri, sans une seconde de répit ...".

💡

"Nous sommes, évidemment, navrés par cette situation et avons présenté nos excuses à nos clients, souligne Bruno Delmas. Nous avons paré au plus urgent dès l'attaque confirmée: nous avons consacré notre énergie à identifier d'où tout cela provenait et comment éviter les risques de réplique. Pendant ce temps, le fraudeur poursuivait son plan en adressant des messages trompeurs, dans la foulée, aux clients concernés. Son plan était manifestement bien préparé avec faux messages et faux sites à l'appui. Fort heureusement, aucune donnée bancaire n'a été exposée". Et de rajouter : "Nous avons, dès les blocages mis en place, consacré une bonne part de notre énergie à mesurer ce à quoi ce dernier avait pu accéder et à quelles fins. C'est ainsi que nous avons constaté qu'il n'était intéressé que par les réservations dont le check-in intervenait après le 22 octobre pour que sa supercherie ait des chances d'aboutir". Heureusement, beaucoup de voyageurs ont été interpellés par ces messages et ont pris la peine d'interroger les propriétaires concernés et ces derniers ont eu une forte capacité de réaction. Malheureusement, un très faible nombre de voyageurs (moins de 10) ont été trompés ; cependant, ces derniers ont actionné la répudiation de ces paiements auprès de leur banque. "Compte tenu des règles RGPD, nous ne pouvions pas communiquer directement avec les clients de nos clients. Cependant, c'était aussi une "première" pour une grande partie de nos clients qui n'ont pu réagir avant. C'est pour cette raison que nous leur avons proposé de le faire, après qu'ils nous aient autorisé par mandat, à leur place auprès des voyageurs concernés. Par mesure de précaution, nous avons ciblé large car, dans ce genre d'attaques, il n'est pas toujours facile d'identifier, dès les premiers jours, ce à que les fraudeurs ont pu avoir accès". Une plainte pénale a été déposée et d'autres procédures sont en cours.

Au final, les attaques à répétition ont été contrées (aucune donnée bancaire n'a été dérobée, seulement des données nominatives partielles ou complètes selon l'origine des réservations) et toutes les procédures réglementaires et légales ont été orchestrées: "Tout cela se fait quand l'incendie est maîtrisé pour de bon et nous savons que les hackers tentent de tromper la vigilance en quittant provisoirement le champ de bataille ... et nous avons eu raison de rester en alerte car ces derniers sont revenus avec d'autres leviers quelques heures plus tard, souligne Bruno Delmas. Ces attaques vont aller en se multipliant et personne n'est épargné, surtout les plus grandes plateformes de voyage qui disposent de fichiers immensément plus appetissants que les nôtres ..."

Une vague mondiale qui n'épargne aucun géant du tourisme

Si l'incident subi par elloha appelle à la plus grande vigilance, il faut le replacer dans son contexte : à l'automne 2026, c'est toute la chaîne de valeur du tourisme qui est prise pour cible par des groupes cybercriminels structurés.

1. La faille Amadeus et les compagnies aériennes (TourMaG)

Comme le révélait l'expert en cybersécurité Christophe Mazzola dans sa chronique sur TourMaG le 12 novembre 2026, une vaste fuite de données via le système de réservation Amadeus a exposé, pour le moment, plus de 200 000 dossiers de réservation (noms, itinéraires, références) chez de grandes compagnies aériennes (Japan Airlines, Cathay Pacific, Singapore Airlines, ANA, Korean Air, etc.). Le point clé souligné par l'enquête ? Il ne s'agissait pas d'un piratage sophistiqué des serveurs des compagnies, mais de l'utilisation d'identifiants légitimes compromis. Comme le résume TourMaG : "Un identifiant ne vit pas que chez la compagnie aérienne. Il vit chez les agences, les tour-opérateurs, les plateformes, par milliers. Et là, on connaît la réalité du terrain : des logins partagés entre collègues, jamais renouvelés, sans double authentification, des comptes d'anciens salariés encore ouverts des mois après leur départ."

2. La cyberattaque contre Smartbox le 3 novembre

Le 3 novembre 2026 — le jour même de la dernière vague subie par elloha — le leader des coffrets cadeaux Smartbox a également été victime d'un accès non autorisé à l'une de ses plateformes. Dans son communiqué officiel envoyé à ses clients (et largement relayé par la presse spécialisée comme pour Lilicado), l'entreprise a confirmé la consultation potentielle de noms et d'adresses e-mail, appelant ses utilisateurs à la plus grande méfiance face aux campagnes de phishing et aux faux messages demandant des coordonnées bancaires.

3. La riposte d'Airbnb face à l'explosion du phishing

L'urgence est telle que les grandes plateformes modifient leurs protocoles techniques dans la précipitation. Dans un message adressé à ses partenaires connectés, Airbnb a annoncé avancer au 26 octobre 2026 (au lieu du 1er décembre) le déploiement des numéros de téléphone temporaires pour les voyageurs et la restriction de transmission des numéros réels via son API et ses webhooks. Motif officiel invoqué par la plateforme : "mieux protéger les hôtes et les voyageurs face à la multiplication des tentatives d’hameçonnage (phishing)". Ainsi, pour les réservations faites à partir du 20 novembre 2026, les hôtes ne peuvent plus demander au voyageur son téléphone, son e-mail ou son adresse, sauf exceptions.

Airbnb n'est pas la seule plateforme à agir de la sorte: Expedia, dans le Top3 des distributeurs mondiaux, remplace aussi les vrais numéros des nouvelles réservations par des numéros factices depuis le 26 mars, en invoquant également le phishing.

4. Le précédent Booking et les fraudes à la réservation en 2026

Cette séquence s'inscrit dans la continuité des vagues de fraude massives observées tout au long de l'année 2026, à l'image des campagnes d'ingénierie sociale ayant ciblé les partenaires de Booking (notamment en juin dernier) ou encore l'affaire Vivaticket. Le mode opératoire reste identique : pirater l'accès d'un établissement ou d'un partenaire pour envoyer, depuis la messagerie officielle, un faux lien de confirmation de paiement au voyageur.

5. L'hébergement français déjà durement frappé au printemps (Gîtes de France, Pierre & Vacances, Belambra)

Bien avant cet automne, les acteurs français de l'hébergement touristique avaient déjà subi une offensive coordonnée en mai 2026. Comme le rapportait Le Monde, trois poids lourds du secteur ont été touchés en l'espace de seulement trois jours par un même pirate informatique : Pierre & Vacances-Center Parcs (1,6 million de dossiers exposés), Belambra, puis Gîtes de France (plus de 389 000 clients concernés via une faille chez le prestataire logiciel Itea). À chaque fois, le constat est identique : si les coordonnées bancaires ont été épargnées, le vol massif de noms, coordonnées et historiques de réservation constitue une matière première idéale pour alimenter les campagnes de phishing ciblé qui frappent aujourd'hui l'ensemble de la profession.

Ce qu'il faut retenir : le facteur humain au cœur de la sécurité

L'enseignement majeur de cette fin d'année 2026 est limpide : la sécurité d'un écosystème dépend de la protection de chaque point d'accès. Les cybercriminels ne cherchent plus seulement à forcer les coffres-forts des grands éditeurs logiciels ; ils exploitent des mots de passe réutilisés, des accès partagés entre plusieurs collaborateurs ou des e-mails frauduleux piégés.

Les 4 réflexes indispensables pour sécuriser votre compte elloha dès aujourd'hui :

Activez systématiquement la double authentification (2FA) : c'est le rempart le plus efficace. Même si un pirate devine ou vole votre mot de passe, il ne pourra pas entrer sans le code temporaire envoyé sur votre téléphone ou votre application d'authentification. Pour elloha, cette sécurité était opérationnelle mais facultative pour les professionnels: elle va désormais devenir obligatoire pour dresser un meilleur rempart contre les risques d'intrusion qui se multiplient.
Créez un accès nominatif par collaborateur : bannissez les identifiants partagés sur un post-it ou envoyés par e-mail. Si un saisonnier ou un salarié quitte votre structure, révoquez son accès le jour même.
Utilisez un mot de passe unique et complexe : ne réutilisez jamais le mot de passe de votre boîte mail personnelle ou d'un autre logiciel professionnel sur elloha ou sur une autre plateforme.
Vérifiez toujours l'expéditeur avant de cliquer : elloha ne vous demandera jamais vos identifiants ou vos coordonnées bancaires par e-mail ou via un lien externe suspect. En cas de doute, passez toujours par votre favori habituel pour vous connecter à votre compte.

Face à la multiplication des cyberattaques touchant des acteurs majeurs du tourisme français (comme Maeva, Belambra ou Gîtes de France), la cybersécurité s'impose désormais comme un enjeu stratégique de confiance client plutôt qu'un simple sujet technique. Une étude internationale publiée par SecureTrust en mai 2026 révèle ainsi que 92 % des agences de voyages interrogées ont subi un incident de sécurité au cours de l'année écoulée, avec une compromission de données sensibles dans 66 % des cas, faisant du risque cyber la première préoccupation des dirigeants devant l'inflation. Le secteur est particulièrement ciblé car il concentre un volume massif d'informations critiques (coordonnées, passeports, paiements, itinéraires), tandis que la sécurité est souvent fragilisée par la conservation excessive d'archives anciennes et le contournement de l'authentification multifacteur en période de forte activité (avoué par 24 % des agences). Pour endiguer cette menace désormais quotidienne, les experts recommandent de purger les données inutiles, de généraliser la double authentification, d'auditer les prestataires et de former les équipes, transformant ainsi la protection des données en un véritable avantage concurrentiel.

La cybersécurité est désormais un enjeu de confiance quotidien pour tous les professionnels du tourisme. Chez elloha, en dépit des très nombreuses attaques déjà contrées par le passé, nous continuons d'investir dans le renforcement de nos infrastructures pour que vous puissiez vous concentrer sereinement sur votre métier : accueillir vos clients.