Hôtels : D-EDGE et Misterbooking piratés à quelques jours d’écart
Deux éditeurs français de logiciels hôteliers ont exposé des données de réservation en octobre : voici ce que l'on sait.
Deux prestataires techniques de l’hôtellerie viennent de subir des incidents de sécurité, à quelques jours d’intervalle. Ainsi, les données de réservation de nombreux clients sont potentiellement concernées. Il s’agit de D-EDGE d’un côté, et de Misterbooking, édité par Septeo Hospitality, de l’autre. Ce sont deux entreprises françaises et deux incidents différents. Toutefois, le risque est commun : des escroqueries très crédibles.
Deux incidents distincts, un même secteur
L’alerte est venue d’un e-mail envoyé par un hôtel proche de Paris. Le message date du 29 octobre 2026. L’établissement y décrit deux incidents « distincts et indépendants l’un de l’autre ». En effet, chacun a touché un de ses prestataires.
D-EDGE fournit le moteur de réservation directe intégré au site de l’hôtel. Misterbooking, lui, sert à gérer les réservations et les séjours. Ces deux outils occupent une place centrale dans la chaîne technique du secteur. Par conséquent, l’hôtel à l’origine du message n’est probablement pas le seul touché.
À la publication de l’information, ni D-EDGE ni Septeo n’avaient répondu aux sollicitations de la rédaction.
D-EDGE : des données de réservation exposées
Selon l’hôtel, tout part d’un défaut de configuration chez D-EDGE. Cette faille a permis à des tiers malveillants d’accéder à des informations les 20 et 21 octobre 2026. Toutefois, l’entreprise n’a prévenu l’établissement que le 23 octobre.
Les informations exposées sont les suivantes :
- les noms et prénoms des clients ;
- les dates et la référence de la réservation ;
- le montant du séjour et le nom de l’hôtel ;
- pour certaines réservations, l’adresse e-mail et le numéro de téléphone.
Le nombre d’hôtels concernés n’a pas été communiqué. Pourtant, le périmètre potentiel est vaste. En effet, D-EDGE se décrit comme un éditeur de solutions cloud de commerce en ligne. Ses outils seraient utilisés par plus de 17 000 hôtels dans plus de 150 pays.
Misterbooking : une intrusion aux conséquences floues
Le cas de Misterbooking est différent. Il s’agit ici d’une véritable intrusion. Le 19 octobre, Septeo Hospitality a détecté un accès illégitime. Un tiers malveillant avait pénétré l’un des serveurs du logiciel.
D’après l’hôtel, « l’attaquant a pu extraire une partie des données ». L’accès a ensuite été coupé dans la matinée du même jour. Cependant, le GHR, organisation professionnelle de l’hôtellerie-restauration, se montre moins rassurant. Dans une note du 23 octobre adressée à ses adhérents, il évoque une « partie significative » des données enregistrées.
Les informations en jeu sont plus sensibles que chez D-EDGE. Elles comprennent :
- l’identité et les coordonnées des clients et de leurs accompagnants ;
- les informations de réservation ;
- les documents joints aux dossiers clients.
L’ampleur de la fuite reste inconnue. D’ailleurs, l’hôtel reconnaît ne pas encore savoir quelles données le concernent, ni en quel volume. Pour mesurer l’enjeu, rappelons que Misterbooking équipe 1 800 établissements. En outre, son rachat a porté Septeo Hospitality à 4 000 hôtels équipés. Ils se situent en France, en Espagne et dans d’autres pays européens.
Données de réservation : attention aux arnaques ciblées
Aucune donnée complète de carte bancaire ne serait concernée par ces deux incidents. Néanmoins, ces fuites laissent présager des vagues de phishing particulièrement soignées. En effet, un escroc qui connaît votre hôtel, vos dates de séjour et votre numéro de réservation paraît légitime.
Ce scénario s’est déjà produit ce mois-ci. Medialog, un autre éditeur français de logiciels hôteliers, a été piraté. Des clients d’hôtels ont ensuite été ciblés sur WhatsApp et par e-mail. Les messages reprenaient leurs véritables informations, notamment leur nom, l’établissement et les dates de séjour.
Autrement dit, un message qui cite votre numéro de réservation ou le montant de votre séjour n’est plus une preuve d’authenticité.
Ce qu’il faut retenir
- Ne confirmez jamais votre carte bancaire à la suite d’un message non sollicité.
- Ne réglez pas d’acompte et ne cliquez pas sur un lien présenté comme urgent, par exemple pour « éviter une annulation ».
- Appelez l’hôtel au numéro indiqué sur son site officiel ou sur votre confirmation d’origine.
- Soyez particulièrement vigilant sur WhatsApp, où ces tentatives ont déjà été observées.
- Si vous avez séjourné récemment dans un hôtel équipé de ces logiciels, surveillez vos relevés bancaires.
Enfin, les clients ayant transmis des pièces d’identité ou des documents personnels à leur hôtel doivent redoubler de prudence. Ces éléments pourraient servir à d’autres usurpations. Il faudra donc suivre les communications officielles des établissements et des éditeurs dans les prochains jours.