À quelques jours d'un départ, recevoir un message réclamant une confirmation de carte bancaire pour maintenir une réservation d'hôtel a de quoi inquiéter. Longtemps reconnaissables à leurs maladresses de rédaction et leurs adresses fantaisistes, ces messages d'usurpation d'identité ont gagné en précision et trompent désormais les voyageurs les plus avertis.
Une usurpation rendue crédible par le piratage des hôteliers
Contrairement aux idées reçues, ce ne sont pas les serveurs centraux des grands sites de réservation qui sont directement attaqués, mais les accès informatiques des établissements partenaires. En dérobant les identifiants d'un hôtel, des pirates informatiques parviennent à s'infiltrer dans sa messagerie officielle.
Résultat : le destinataire reçoit un courriel ou un message texte contenant des informations parfaitement exactes — son nom, ses dates de séjour et le montant précis de la nuitée. Le message somme le client de valider ses coordonnées bancaires sous vingt-quatre heures, sous peine de voir sa réservation annulée. Le lien redirige vers une page imitant l'interface officielle, conçue pour prélever de nouveau le montant indiqué.
Une menace identifiée par les autorités
Ce procédé exploite la hâte du vacancier et la crainte d'un imprévu de dernière minute. Dans son bilan annuel, l'organisme public Cybermalveillance.gouv.fr classe le piratage de compte au deuxième rang des cyberattaques visant les particuliers, représentant plus de 11 % des demandes d'assistance.
De son côté, la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) rappelle que les menaces de pénalités immédiates ou l'affichage de décomptes temporels artificiels constituent des pratiques commerciales trompeuses.
Les précautions à adopter avant le départ
Pour vérifier l'authenticité d'une relance sans prendre de risque, plusieurs réflexes s'imposent :
-
Consulter directement son espace personnel : Ne cliquez sur aucun lien contenu dans le message. Ouvrez votre navigateur internet et connectez-vous directement sur le site ou l'application de réservation.
-
Examiner l'adresse du lien : En passant le pointeur de la souris sur le bouton de règlement (sans cliquer), vous pouvez visualiser l'adresse internet réelle. Si le nom de domaine ne correspond pas exactement au site officiel, fermez le message.
-
Joindre l'établissement par téléphone : Contactez directement l'hôtel en recherchant son numéro sur son site officiel, et non à partir des coordonnées figurant dans le message suspect.
En matière de voyages comme de démarches en ligne, la précipitation reste le meilleur allié des escrocs. Prendre le temps de recouper une information à la source garantit un départ en toute quiétude.