L’hôtellerie concentre tout ce qui intéresse un cybercriminel : des données de paiement, des informations personnelles sur des centaines de clients, un wifi ouvert au public et des équipements connectés multipliés dans les chambres. Lors d’un webinaire organisé par le GHR le 16 juin 2026 en partenariat avec Paritel, Ludovic Moukoukenoff, directeur des systèmes d’informations et réseau chez Paritel, et Isabelle Leganne, DOP du groupe Prince Albert et Vice-Présidente de la Commission des Enjeux Numériques pour le syndicat, ont dressé l’état de la menace, détaillé les méthodes d’attaque les plus actives et partagé un cas vécu par l’un de leurs établissements. hostin média en a tiré la synthèse pratique.
« Quatre établissements sur dix en France se font attaquer« , dévoile d’emblée Ludovic Moukoukenoff, directeur des systèmes d’informations et réseau chez Paritel. Les chiffres présentés en ouverture du webinaire situent clairement le niveau de risque. Selon le State of Hospitality Cyber Report 2025, 82 % des hôtels ont subi au moins une cyberattaque durant l’été 2024. Le coût moyen d’une violation de données dans le secteur a atteint 3,86 millions d’euros en 2024, en hausse de 6,6 % par rapport à 2023 (Help Net Security / IBM 2025). À l’échelle de la France toutes activités confondues, 43 % des organisations ont subi une cyberattaque réussie en 2024 (Jedha / ANSSI 2025). Et la digitalisation des établissements en hôtellerie accentue le phénomène : les attaques par malware visant des objets connectés (serrures électroniques, télévisions, bornes wifi) ont progressé de 107 % sur la même période, selon SonicWall et Nomadix.
Deux constantes structurent l’ensemble des cas présentés : 90 % des cyberattaques réussies démarrent par un phishing, et 95 % des failles de sécurité ont pour origine une erreur humaine plutôt qu’une faille technique pure.
Cinq méthodes d’attaque à connaître
Le phishing. Le mécanisme tient en quatre étapes : un e-mail frauduleux imite un interlocuteur de confiance, que l’on connait, comme Booking.com ; l’hôtelier saisit ses identifiants extranet sur un faux formulaire ou via un malware ; le pirate accède aux données de réservation (noms, téléphones, montants, dates) ; les voyageurs reçoivent ensuite un faux lien de paiement et règlent leur séjour une seconde fois. En France, 73 % des entreprises auraient déjà été ciblées par une tentative de phishing. Microsoft Threat Intelligence suit depuis février 2025 une campagne active de ce type, attribuée à un groupe baptisé Storm-1865 : des e-mails imitant Booking.com redirigent les hôteliers vers de faux sites installant des infostealers, logiciels qui volent identifiants et données bancaires.
L’usurpation de nom de domaine. Trois variantes coexistent : le typosquatting, qui consiste à enregistrer un nom de domaine très proche du nom légitime (une lettre changée, un « 0 » à la place d’un « O ») pour capter les internautes qui se trompent en tapant l’adresse ; le cybersquatting, l’enregistrement abusif du nom d’un établissement pour le revendre ou détourner son trafic ; et le faux site pur, copie d’un site existant ou création ex nihilo pour un hôtel qui n’a pas de présence en ligne, destiné à voler des identifiants ou des paiements.
Le malware. C’est un virus, qui s’introduit par une clé usb, un fichier pdf et même un word. Ça récupère des identifiants puis ça se propage partout. L’exemple cité en 2024 est celui d’Otelier, logiciel de gestion utilisé par Marriott, Hilton et Hyatt : un malware a permis à des attaquants d’accéder aux serveurs Amazon S3 et Atlassian de l’éditeur, d’en extraire 437 000 adresses e-mail ainsi que des données bancaires partielles, puis de revendre ces informations sur des forums spécialisés (source : Kaspersky). Cet épisode illustre le risque que représentent les prestataires logiciels tiers, au-delà des seuls systèmes internes de l’hôtel. En 2025, ce sont 500 000 nouveaux malwares qui auraient été détectés chaque jour.
L’exploitation de la faille humaine. Le cas de référence reste celui de MGM Resorts en 2023 : des attaquants ont étudié les profils LinkedIn des salariés, identifié une cible, puis appelé le support informatique de l’entreprise en usurpant son identité, jusqu’à obtenir des identifiants de connexion. Avec ces accès, ils ont décroché des privilèges d’administrateur sur les serveurs cloud Okta et Azure du groupe, se sont déplacés latéralement dans le système d’information, et ont fini par atteindre les machines virtuelles liées aux réservations, aux clés des chambres et même à la mise en service des machines à sous des casinos. Plus de 6 To de données clients ont été exfiltrés et une rançon exigée ; la perte est estimée à 100 millions de dollars.
L’arnaque au président. Cette attaque d’ingénierie sociale repose sur trois étapes : la collecte d’informations publiques sur l’entreprise (site web, réseaux sociaux, communiqués, organigramme), l’usurpation d’identité via une adresse e-mail visuellement proche de celle d’un dirigeant ou d’un partenaire, puis un message jouant sur l’urgence et la confidentialité pour obtenir un virement ou l’envoi de documents sensibles.
L’IA, nouvel outil entre les mains des attaquants
Les cybercriminels utilisent désormais l’IA générative pour accélérer la préparation de leurs attaques, une pratique que l’on désigne par le terme de « vibe hacking » : au lieu de réaliser chaque étape manuellement, l’attaquant délègue à l’IA la reconnaissance des cibles, la recherche de vulnérabilités, la génération de scripts ou la rédaction de messages de phishing crédibles. Une variante vocale existe également, le « deep voice » : un pirate appelle une entreprise en imitant, grâce à un outil de clonage vocal, la voix d’un dirigeant, et parvient à convaincre son interlocuteur de transférer des fonds ou des documents confidentiels. L’enjeu pour les équipes de sécurité bascule progressivement : il ne s’agit plus seulement de détecter des attaques pilotées par des humains, mais de suivre le rythme de menaces de plus en plus générées et exécutées par des agents IA autonomes.
Le cas vécu : décembre 2025, de faux messages Booking ciblent les clients
Isabelle Leganne a partagé un épisode survenu en décembre 2025 dans l’un des établissements du groupe Prince Albert. Un client a alerté la réception un dimanche, entre 10 heures et midi, après avoir reçu un message WhatsApp l’invitant à confirmer sa réservation et à régler un paiement via un lien externe. Le message reprenait son nom, son numéro de réservation et ses dates de séjour, envoyé depuis un numéro indien. Une fois l’alerte remontée, l’établissement a dû recenser les réservations concernées (près de 500), couper temporairement les accès aux ventes de chambres sur Booking, déposer plainte, déclarer l’incident à la CNIL et contacter individuellement chaque client touché pour le prévenir que l’hôtel n’envoie jamais de demande de paiement par WhatsApp. Booking.com a mis une dizaine de jours à revenir vers l’établissement, évoquant une possible fuite côté hôtel. Une hypothèse qu’Isabelle Leganne conteste, l’audit de ses postes n’ayant révélé aucune trace de logiciel malveillant.
Ce type d’incident n’est pas isolé : on enregistrement environ 350 établissements ou chaînes qui ont été compromis par ce même schéma de phishing via Booking.
>> Lire aussi : Sur la piste des faux messages WhatsApp de Booking, cette nouvelle arnaque estivale en vogue
Que faire en cas de cyberattaque
Le déroulé recommandé par cybermalveillance.gouv.fr, repris lors du webinaire, distingue trois phases.
1. Les premiers réflexes. Alerter immédiatement son support informatique, interne ou prestataire. Isoler les systèmes en coupant les connexions Internet et réseau local pour éviter toute propagation. Constituer une cellule de crise associant les équipes technique, RH, finance, communication et juridique. Tenir un registre de tous les évènements et actions, utile pour les enquêteurs et les enseignements à venir. Préserver les preuves (messages reçus, machines touchées, journaux de connexion) sans les modifier. Un point est martelé sans ambiguïté : ne jamais payer de rançon, puisque cela finance les criminels sans garantir la récupération des données.
2. Piloter la crise. Mettre en place des solutions de secours et activer, si l’établissement en dispose, son plan de continuité ou de reprise d’activité. Déclarer le sinistre à son assureur. Alerter sa banque si des informations permettant des transferts de fonds ont pu être dérobées. Déposer plainte avant toute remédiation, en fournissant toutes les preuves disponibles aux autorités. Identifier l’origine et l’étendue de l’attaque pour corriger ce qui doit l’être. Notifier la CNIL sous 72 heures, des données personnelles ont pu être consultées, modifiées ou détruites. Gérer sa communication envers clients, collaborateurs, partenaires et médias avec un niveau de transparence adapté.
3. Sortir de la crise. Remettre les systèmes en service de façon progressive et contrôlée, en s’assurant que les vulnérabilités ont bien été corrigées. Tirer les enseignements de l’incident pour bâtir des plans d’action techniques, organisationnels, contractuels et humains. Ne pas négliger le facteur psychologique : une cyberattaque peut générer une surcharge de travail, un sentiment d’humiliation ou de culpabilité chez les équipes, susceptible d’affecter leur efficacité longtemps après la crise.
Plusieurs contacts utiles ont été rappelés :
- cybermalveillance.gouv.fr pour l’assistance et la prévention,
- le 17Cyber (17cyber.gouv.fr) pour être orienté en urgence,
- et Notifier une violation de données personnelles | CNIL pour la notification d’une violation de données.
Cinq actions concrètes pour réduire les risques
Aucune de ces mesures ne garantit, prise isolément, une protection totale. Mais leur combinaison réduit nettement la surface d’exposition d’un établissement : former les équipes, segmenter et sécuriser les réseaux, sauvegarder ses données hors site, tester ses propres défenses, et savoir réagir vite et collectivement le jour où un incident survient. Le secteur hôtelier, très digitalisé et particulièrement exposé, n’a plus la possibilité de considérer la cybersécurité comme un sujet secondaire.
01 – Tester ses propres défenses :
- L’audit. Isabelle Leganne a mené un audit de ses établissements qui a révélé qu’une clé USB branchée sur une télévision connectée (Chromecast) avait permis de se connecter au serveur wifi de l’hôtel. Un exemple concret de la manière dont la digitalisation des chambres élargit, souvent sans qu’on s’en rende compte, la surface d’attaque d’un établissement.
- Le test d’intrusion (pentest). Un expert est mandaté pour tenter de pénétrer le système de l’établissement comme le ferait un véritable attaquant. Il peut porter sur le phishing (tester la résistance humaine aux campagnes d’hameçonnage), en externe (sans aucune information privilégiée sur l’infrastructure), en interne (en simulant un poste compromis ou un visiteur connecté au wifi interne), sur les applications web métier, ou sur la résistance du wifi. La démarche suit quatre étapes : cadrage des objectifs et du périmètre, reconnaissance du réseau, phase d’attaque dans le cadre contractuel défini, puis remise d’un rapport global et technique accompagné de recommandations de remédiation.
02 – La formation des équipes. 95 % des failles de sécurité sont liées à l’humain. La sensibilisation reste le levier le plus rentable. Deux formats sont évoqués : une initiation aux bases de la cybersécurité pour comprendre la menace et distinguer les différents types d’attaques, et une formation pratique pour adopter les bons comportements individuels et collectifs au quotidien. Isabelle Leganne a complété cette approche par une charte informatique couvrant l’usage de l’IA et un article dédié dans le règlement intérieur, rappelant qu’en cas de mauvais usage de l’IA par un salarié, c’est l’employeur qui reste juridiquement responsable.
03 – La sauvegarde des données, selon la règle du 3-2-1. Trois copies des données (l’original et deux sauvegardes), sur deux supports différents (par exemple un NAS local et un espace cloud), dont une copie hors site, physiquement déconnectée du réseau. Sans cette dernière copie « air gap », un ransomware peut chiffrer l’ensemble des données y compris les sauvegardes connectées. Pour les données sensibles (santé, finance), le recours à un cloud souverain de type HDS ou SecNumCloud est recommandé.
04 – L’audit du réseau. Il s’agit de cartographier l’ensemble des équipements connectés : postes, serveurs, imprimantes, caméras, objets IoT, tout appareil non répertorié constituant une porte d’entrée potentielle. L’audit détecte ensuite les failles via l’analyse des ports ouverts, des services exposés et des firmwares obsolètes, puis vérifie les droits d’accès de chacun en appliquant le principe du moindre privilège (mots de passe par défaut, comptes inactifs, accès VPN). Il se conclut par un plan de remédiation hiérarchisant les vulnérabilités critiques, importantes et mineures.
05 – La protection technique. Elle repose sur une double barrière : un firewall nouvelle génération, qui filtre les flux entrants et sortants, inspecte le trafic chiffré et segmente le réseau (le wifi clients doit impérativement être isolé du réseau interne, avec un portail captif et une conservation des journaux de connexion conforme au RGPD) ; et une solution de protection des postes de type EDR/XDR, qui détecte les comportements suspects au-delà des seules signatures virales connues et peut isoler automatiquement un poste compromis.
