Cybersécurité hôtelière : à enjeu majeur, prévention cruciale

Dans un entretien accordé à hostin média, Cyril Varicari, ingénieur cybersécurité chez Ziwit revient sur les fondamentaux à connaître et à appliquer pour mieux sécuriser son établissement.

La question n’est plus « est-ce que » mais « quand est-ce que » nous allons nous faire attaquer. Et les hôtels figurent parmi les cibles privilégiées des cyberattaquants. Entre les données bancaires des clients, les accès aux PMS, les extranets partenaires et les dizaines de prestataires connectés au système d’information, la surface d’attaque est considérable. 

Et au milieu des centaines d’e-mails reçus chaque jour, la faille est rarement là où on l’attend. Cyril Varicari, ingénieur cybersécurité chez Ziwit, intervient régulièrement dans des établissements hôteliers. Il détaille les vulnérabilités qu’il y trouve, et les premières mesures concrètes à mettre en place.

hostin média : Par où les attaquants entrent-ils le plus souvent dans les hôtels ?

Cyril Varicari : Trois vecteurs d’entrée reviennent systématiquement.

Le phishing est de loin le point d’entrée le plus fréquent. Un employé, qu’il soit en réception, en comptabilité, en direction ou prestataire, reçoit un e-mail convaincant et saisit ses identifiants sur une fausse page. Une fois un compte compromis, les attaquants accèdent aux outils internes : messagerie, PMS, outils de réservation, VPN, etc.

Les systèmes exposés sur Internet constituent le deuxième vecteur. Sites de réservation, extranets partenaires, API, portails administratifs : tout ce qui est exposé publiquement peut contenir une vulnérabilité, qu’il s’agisse d’une mauvaise configuration, d’une faille applicative ou d’identifiants faibles.

Les prestataires et la chaîne de sous-traitance représentent un point critique propre à l’hôtellerie. De nombreux systèmes (gestion des clés, Wi-Fi, paiement, maintenance des ascenseurs, serrures connectées) sont opérés par des tiers. Un compte compromis chez un fournisseur peut ouvrir la porte à plusieurs établissements simultanément.

Quelles sont les failles que vous trouvez systématiquement, et que l’hôtelier n’avait pas vues ?

Trois failles reviennent dans presque tous les établissements audités.

La gestion des identités et des accès est trop faible : absence de MFA (authentification multifacteurs) sur des outils critiques, comptes partagés en réception ou au back-office, accès fournisseurs trop permissifs ou jamais révoqués. Dans beaucoup de cas, une simple compromission d’identifiants suffit à accéder à des systèmes sensibles.

L’exposition involontaire de services est également très fréquente. Des interfaces d’administration, des accès prestataires ou des API mal protégées se retrouvent régulièrement exposés sur Internet, oubliés après déploiement.

La segmentation réseau insuffisante crée un troisième risque majeur. Les réseaux invités, les systèmes métiers et les équipements connectés cohabitent trop souvent sans véritable isolation, ce qui facilite les mouvements latéraux en cas d’intrusion.

Les données de carte bancaire sont-elles vraiment le risque numéro un ?

Les données bancaires sont très sensibles, mais dans la pratique, elles ne sont pas toujours le risque principal en hôtellerie. Elles sont de plus en plus encadrées par des normes spécifiques (PCI-DSS, prestataires de paiement certifiés) et restent une cible, mais souvent mieux protégée que d’autres types de données.

D’autres informations sont en réalité plus fréquemment exposées et moins surveillées : les données d’identité des clients (nom, prénom, coordonnées, numéro de passeport ou carte d’identité), les historiques de séjour, les habitudes de réservation et les données issues des programmes de fidélité.

Par où doit commencer un hôtel indépendant sans DSI (directeur des systèmse d’information) ni responsable cybersécurité ?

Un hôtel indépendant qui n’a pas de DSI ou de responsable cybersécurité peut commencer à se protéger, sans gros budget, en allant à l’essentiel :

• faire un inventaire simple de ses outils et vérifier lesquels sont accessibles depuis Internet. Beaucoup découvrent à ce stade des services exposés qu’ils n’avaient pas identifiés ;
• ensuite : sécuriser les accès en créant des comptes nominaux, en supprimant les comptes partagés quand c’est possible, et en activant le MFA sur la messagerie, le PMS et les accès distants ;
• enfin, deux points clés méritent une vérification immédiate : s’assurer que le Wi-Fi invité est bien isolé du réseau interne et vérifier que les prestataires ne disposent pas d’accès permanents inutiles.

Le Wi-Fi invités est-il un vrai risque pour le réseau interne ?

Le Wi-Fi invité peut être un vrai risque mais uniquement quand il est mal isolé. Dans un environnement bien configuré, le Wi-Fi invité ne devrait pas pouvoir impacter le réseau interne de l’hôtel, ni les autres clients connectés. Dans le cas contraire, un attaquant peut cibler le réseau interne et les clients connectés au même Wi-Fi, même si certaines sécurités complémentaires (TLS, HSTS) permettent de limiter l’impact pour un client ayant une utilisation simple d’Internet.

Quel déclencheur devrait décider un hôtelier à faire un audit ?

Un audit devient pertinent dès que l’hôtel gagne en complexité : déploiement de nouveaux outils (PMS, solutions de paiement, équipements IoT), migration cloud ou multiplication des prestataires.

Il est également nécessaire quand la visibilité est faible sur les accès et les services exposés, ou après un incident, même mineur.

La taille de l’établissement compte moins que le niveau de dépendance et de maîtrise du système d’information. Dès que la situation devient floue, un audit permet avant tout de reprendre le contrôle.

💡Le syndicat patronal GHR met à disposition de ses adhérents un site pour calculer votre score de santé cybersécurité (avec les experts Paritel). Vous pouvez y accéder en cliquant ici.

Après une attaque réussie, combien de temps faut-il pour reprendre une exploitation normale ?

Pour un ransomware bien géré, la reprise de l’activité hôtelière se fait souvent en quelques jours à deux semaines. Revenir à un état totalement stable et sécurisé peut en revanche prendre plusieurs semaines supplémentaires, notamment si des systèmes doivent être entièrement reconstruits.

Le poste de coût le plus lourd reste presque toujours l’interruption d’activité, davantage que la remédiation technique elle-même. Pour des structures de taille significative, le montant peut atteindre plusieurs centaines de milliers d’euros, selon la durée d’arrêt et l’impact opérationnel.

Quelle est la première chose à faire dès demain matin, sans budget ? 

Sans budget, la première action utile est un contrôle des accès : lister les comptes critiques (PMS, messagerie, réservation, VPN), supprimer ou désactiver les comptes partagés quand c’est possible, et activer la double authentification sur tout ce qui est accessible à distance. C’est rapide, souvent gratuit, et cela réduit immédiatement le risque principal.

Et avec un budget dédié ?

Avec un budget dédié, la priorité est de reprendre la maîtrise globale des accès et de la segmentation. Cela passe par un audit du système d’information, la mise en place systématique du MFA sur tous les outils critiques, une séparation propre des réseaux (invités, métiers, prestataires, IoT), et le déploiement d’un SOC (Security Operations Center) pour assurer un suivi continu. C’est à ce niveau que se joue la vraie réduction de la surface d’attaque sur le moyen terme.