À l’approche de la saison estivale, plusieurs acteurs majeurs du tourisme français ont été frappés par des incidents de sécurité informatique en l’espace de quelques jours. Gîtes de France, Belambra, Pierre & Vacances-Center Parcs. Dans chaque cas, la communication est rassurante sur un point : pas de données bancaires volées. Mais c’est exactement là que commence le malentendu.
Notre article sur le rapport de l’ANSSI 2025 peut vous intéresser.
Plusieurs acteurs du tourisme touchés en quelques jours
Gîtes de France est le troisième acteur du tourisme en France en trois jours à communiquer sur une cyberattaque, après le groupe Pierre et Vacances-Center Parcs vendredi et Belambra samedi.
Le réseau d’hébergements Gîtes de France confirme avoir été victime d’un vol de données qui pourrait concerner plus de 389 000 clients. « Un incident de sécurité a entraîné un accès frauduleux à certaines données relatives aux dossiers de réservation » des clients, a indiqué le réseau (AFP). Les données compromises concerneraient notamment les noms et prénoms, les dates et nombre de nuitées, les e-mails, les téléphones et les adresses postales des clients. Aucune donnée bancaire n’a pu être collectée, assure Gîtes de France.
Belambra, qui exploite 44 clubs de vacances sur le territoire français, a confirmé « un accès frauduleux à une partie de ses infrastructures numériques » (AFP). L’entreprise précise qu’aucune donnée bancaire, mot de passe ou pièce d’identité n’aurait été compromise. Parmi les informations évoquées figurent des réservations clients, des dossiers personnels et des données liées à des enfants enregistrés dans les systèmes de réservation.
Le groupe Pierre et Vacances-Center Parcs a indiqué avoir déposé plainte pour une fuite de données concernant 1,6 million de réservations sur la plateforme La France du Nord au Sud (Clubic). Parmi les données susceptibles d’avoir été compromises figurent les numéros de réservation, les dates et lieux de séjour, les noms des occupants, leurs numéros de téléphone ainsi que leurs dates de naissance. « Aucune donnée bancaire, ni adresse e-mail n’ont pu être collectées », assure le groupe.
Le même hacker serait à l’origine des trois vols de données, selon le fondateur de French Breaches qui a échangé avec lui sur une messagerie sécurisée (French Breaches). Une partie des chiffres avancés reste à confirmer par les enquêtes en cours.
Un point commun à ces trois cas : les données concernées sont des données de réservation. Et ces données valent beaucoup plus que ce qu’on imagine.
Les données de réservation : plus sensibles qu’elles n’en ont l’air
Le réflexe habituel est de raisonner par soustraction : pas de numéro de carte, pas de mot de passe, pas de risque majeur. C’est une erreur de cadrage.
Une réservation de vacances, ce n’est pas une ligne dans une base de données. C’est un concentré d’informations contextualisées : identité complète, adresse du domicile, coordonnées directes, destination, dates de séjour, nombre de nuitées, parfois composition du foyer ou informations liées aux enfants.
Ces données permettent de reconstituer avec précision les habitudes de voyage des victimes, leurs périodes d’absence du domicile, voire leur niveau de dépenses. Les risques concrets vont du phishing ciblé exploitant l’historique touristique aux tentatives d’usurpation d’identité, en passant par des arnaques sophistiquées liées aux réservations ou, dans les cas les plus graves, des cambriolages opportunistes perpétrés durant des absences documentées.
Les pirates cherchent désormais moins à voler des données bancaires qu’à récupérer des identités, des habitudes de déplacement, des coordonnées personnelles, ou des bases clients revendables.
Une adresse e-mail seule vaut peu. Une adresse e-mail associée à une réservation précise, à une date de séjour et à un hébergement devient beaucoup plus exploitable.
C’est ce que les spécialistes appellent une donnée contextualisée. Les pirates disposent d’un jeu de données très complet : ils savent comment vous vous appelez, où vous partez en vacances, à quel moment et avec qui. Ils peuvent ainsi mettre en place des arnaques particulièrement convaincantes. Le taux de succès de ces attaques est sans commune mesure avec un e-mail de phishing générique.
Pourquoi les sites de vacances sont devenus des cibles de choix
Ces attaques confirment une tendance de plus en plus inquiétante : le secteur du tourisme et de l’hébergement est devenu particulièrement attractif pour les cybercriminels. Les raisons sont nombreuses : multiplicité des partenaires, systèmes de réservation parfois vieillissants, très grandes quantités de données personnelles, ou encore présence fréquente d’informations familiales et de mineurs. Ajoutez à cela la pression opérationnelle d’avant-saison, qui laisse peu de place à la vigilance, et vous avez une cible idéale.
Dans le tourisme, le risque cyber ne se limite pas au site internet. Il circule entre le moteur de réservation, le logiciel métier et les prestataires. Gîtes de France a confirmé que la faille provenait de son prestataire informatique Itea, dont les logiciels sont utilisés par certaines de ses centrales de réservation départementales (France 3). Ce n’est pas le site qui a été attaqué, c’est un maillon de sa chaîne technique.
La donnée client, un actif qui peut se retourner contre vous
La donnée client sert à réserver, vendre, relancer, fidéliser et organiser la saison. Mais si elle fuit, elle peut aussi devenir une arme contre les clients comme contre l’entreprise. Au total, plus de 5 millions de personnes pourraient potentiellement être concernées par ces différentes bases revendiquées par des hackers (French Breaches). Ce chiffre, à lui seul, dit tout de ce qu’est devenu le tourisme numérique français comme surface d’attaque.