Les données personnelles de voyageurs ayant réservé des chambres d’hôtel ont été consultées frauduleusement les 20 et 21 octobre 2026 à travers les systèmes de D-EDGE. Noms, dates de séjour, références de réservation et coordonnées figurent parmi les informations concernées. Plusieurs établissements ont été alertés et des clients ont déjà signalé des tentatives d’escroquerie exploitant leurs véritables réservations.
D-EDGE est une entreprise française spécialisée dans les technologies de réservation et de distribution hôtelière. Basée à Paris et issue du rapprochement d’Availpro et de Fastbooking, elle fournit notamment des moteurs de réservation, des outils de gestion commerciale et des solutions de paiement. Ses technologies sont utilisées par plus de 17 000 hôtels dans 150 pays.
Des accès non autorisés les 20 et 21 octobre 2026
L’incident concerne le système permettant aux voyageurs de réserver directement sur les sites Internet des établissements. Selon les informations transmises aux hôtels, un problème de configuration aurait permis à des personnes non autorisées de consulter certaines données de réservation.
Le 23 octobre 2026, D-EDGE a informé des établissements concernés de cet incident de sécurité. Le groupe hôtelier tchèque Amenity a notamment confirmé publiquement avoir reçu cette notification.
D’après cet établissement, D-EDGE lui a indiqué avoir corrigé la vulnérabilité identifiée. La méthode technique exacte utilisée par les attaquants n’a toutefois pas été rendue publique.
Des identités et des détails précis sur les séjours exposés
Les informations susceptibles d’avoir été récupérées comprennent :
- Les noms et prénoms des voyageurs ;
- Le nom de l’hôtel réservé ;
- Les dates d’arrivée et de départ ;
- Les références de réservation et le montant du séjour ;
- Le nombre de personnes associées à certaines réservations ;
- Les adresses email et numéros de téléphone pour une partie des clients.
Selon les informations communiquées aux établissements, les données de cartes bancaires ne font pas partie des informations compromises.
Le nombre exact de réservations et d’hôtels concernés reste inconnu. Les 17 000 établissements utilisant les technologies de D-EDGE ne doivent donc pas être considérés comme autant de victimes.
Des clients déjà contactés par de faux services de réservation
Les conséquences de cette fuite ne sont pas seulement théoriques. Le groupe hôtelier Amenity indique avoir recensé, au 26 octobre 2026, six signalements de sollicitations suspectes concernant des clients de trois de ses complexes touristiques en République tchèque.
Des messages WhatsApp envoyés sous des identités telles que StayVista ou Swiggy invitaient les voyageurs à vérifier leurs réservations sur des sites extérieurs.
Ces tentatives sont particulièrement dangereuses, car les fraudeurs peuvent reprendre de véritables informations sur les séjours pour convaincre les voyageurs de communiquer leurs coordonnées bancaires ou d’effectuer un paiement.
Même sans vol initial de données bancaires, les cybercriminels peuvent ainsi tenter de récupérer directement les informations de paiement auprès des victimes.
Une fuite confirmée, mais un bilan encore inconnu
Les notifications transmises par D-EDGE aux établissements et les communications publiques d’hôteliers confirment l’existence d’un accès frauduleux à des informations de réservation.
Au 2 novembre 2026, aucun bilan public global ne permet toutefois de connaître le nombre de voyageurs touchés, les pays concernés ou l’étendue exacte des données consultées.
Les voyageurs ayant réservé un hôtel utilisant D-EDGE doivent se méfier des demandes de paiement ou de vérification reçues par email, SMS ou WhatsApp. Un message mentionnant le bon hôtel, les bonnes dates et une référence de réservation authentique ne garantit plus qu’il provient réellement de l’établissement.
Source originale : Cyberattaque.org.
