C’est à travers le mail d’un hôtel situé près de Paris que l’alerte nous est remontée.
Dans ce message adressé à ses clients le 29 octobre 2026, l’établissement expliquait que deux incidents de sécurité « distincts et indépendants l’un de l’autre » avaient touché deux de ses prestataires techniques, et que certaines données personnelles liées aux réservations faites dans l’établissement étaient concernées.
Deux logiciels y sont pointés du doigt. Le premier est D-EDGE, qui fournit le moteur permettant de réserver directement sur le site de l’hôtel. Le second est Misterbooking, l’outil de gestion des réservations et des séjours édité par Septeo Hospitality. Deux entreprises françaises qui occupent une place centrale dans la chaîne technique de l’hôtellerie, ce qui laisse penser que l’établissement à l’origine du mail est loin d’être le seul concerné.
À la publication de cet article, ni D-EDGE ni Septeo n’avaient répondu à nos sollicitations.
Ce que l’on sait de l’incident chez D-EDGE
D’après le mail de l’hôtel, une faille due à un défaut de configuration chez D-EDGE a permis à des tiers malveillants d’accéder à des données de réservation les 20 et 21 octobre 2026. L’entreprise n’a prévenu l’établissement que le 23 octobre. Les informations exposées comprennent :
- les noms et prénoms des clients
- les dates et la référence de leur réservation
- le nombre de personnes
- le montant du séjour et le nom de l’hôtel
- et pour certaines réservations l’adresse e-mail et le numéro de téléphone.
Le nombre d’établissements touchés n’a pas été communiqué, mais le périmètre potentiel est large. D-EDGE se présente comme un éditeur de solutions cloud de commerce en ligne utilisées par plus de 17 000 hôtels dans plus de 150 pays.
Ce que l’on sait de l’attaque contre Misterbooking
L’incident chez Misterbooking relève quant à lui d’une intrusion. L’éditeur Septeo Hospitality a détecté le 19 octobre qu’un tiers malveillant avait obtenu un accès illégitime à l’un des serveurs du logiciel, et l’hôtel précise dans son mail que « l’attaquant a pu extraire une partie des données » avant que l’accès ne soit coupé, dans la matinée du même jour.
Dans une note publiée le 23 octobre à destination de ses adhérents, le GHR, organisation professionnelle de l’hôtellerie-restauration, se montre moins rassurant et évoque l’extraction d’une « partie significative » des données enregistrées.
Les données concernées sont plus sensibles que dans le cas de D-EDGE, puisqu’elles incluent :
- l’identité et les coordonnées des clients et de leurs accompagnants
- les informations de réservation et les documents joints aux dossiers clients
L’ampleur reste inconnue, l’hôtel indiquant lui-même ne pas encore connaître la nature exacte ni le volume des données qui le concernent. Pour mesurer l’enjeu, Misterbooking est utilisé par 1 800 établissements, et son rachat a porté Septeo Hospitality à 4 000 hôtels équipés en France, en Espagne et dans d’autres pays européens.
Méfiez-vous des messages trop bien renseignés
Si aucune donnée complète de carte bancaire ne serait concernée par ces deux incidents, ces fuites laissent présager des vagues d’arnaques très crédibles.
Le scénario s’est déjà produit ce mois-ci, après le piratage de Medialog, un autre éditeur français de logiciels hôteliers, puisque des clients d’hôtels ont été ciblés sur WhatsApp et par mail avec leurs véritables informations de réservation, notamment leur nom, l’établissement et les dates de séjour.
Pour rappel, un message qui cite votre numéro de réservation, vos dates et le montant de votre séjour n’est donc plus une preuve d’authenticité. S’il vous demande de confirmer votre carte bancaire, de régler un acompte ou de cliquer sur un lien pour éviter une annulation, ne répondez pas et appelez l’hôtel au numéro affiché sur son site officiel ou sur votre confirmation d’origine.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Toute l'actu tech en un clin d'œil
Ajoutez Numerama à votre écran d'accueil et restez connectés au futur !
Tous nos articles sont aussi sur notre profil Google : suivez-nous pour ne rien manquer !