Alors qu’approche le premier anniversaire de la mise en place du RGPD, règlement européen sur le traitement et la circulation des données personnelles, la société américaine Symantec, spécialisée dans la cybersécurité, a publié une étude dans laquelle sont mises en exergue les pratiques plus que discutables des établissements hôteliers.
Sur une base d’analyse de 1500 hôtels implantés dans 54 pays de cinq continents — de deux à cinq étoiles –, Symantec a découvert une anomalie sur la divulgation des données personnelles des clients : deux sites internet sur trois communiquent les détails de réservation à des acteurs tiers, tels que des annonceurs publicitaires, réseaux sociaux et moteur de recherche, sans en avertir les personnes concernées. Et surtout, l’ensemble du processus n’est pas entièrement sécurisé.
La faille HTTP
Nom et prénom, adresse email, adresse postale, numéro de téléphone portable, les quatre derniers chiffres de la carte de crédit, type de carte de crédit, sa date d’expiration et le numéro de passeport : autant d’informations auxquelles ont eu accès un nombre conséquent de partenaires. Mais la firme d’outre-Atlantique pointe tout particulièrement du doigt les risques que peuvent entraîner ces fuites si un hacker malveillant tombait dessus.
Par la voie de son spécialiste Candid Wueest, Symantec détaille les démarches qui l’on amené à ces résultats. Ainsi, lorsqu’un client effectue une réservation sur le site internet d’un hôtel, ce dernier (dans 59 % des cas) lui renvoie une url « HTTP » de sa dite réservation par mail. Sur ce lien, se trouvent ses données personnelles suscitées. Le fait est que les références de réservation et les informations d’identification apparaissent également dans l’URL envoyée.
Problème : 29 % des sites des hôtels ne chiffrent pas le lien initial envoyé dans le courrier électronique par le biais du protocole HTTPS. Autrement dit, et comme le note Candid Wueest, un pirate serait en mesure d’intercepter les informations d’identification de la réservation si sa victime se trouve connectée au même réseau Wifi que lui (lieu public). De ce fait, le hacker pourrait consulter le récapitulatif de sa facture, sur lequel sont affichées toutes ses données personnelles.
Une autoroute pour les hackers
Un pirate pourrait aussi se faire passer pour un tiers de confiance de façon à mettre la main sur la data de l’utilisateur. La firme de cybersécurité alerte également sur les risques d’attaque par force brute. En d’autres termes, un attaquant pourrait bruteforcer l’URL en testant les numéros de réservation dans l’URL, jusqu’à tomber sur la page de sa victime. Pour ce faire, le hacker doit au moins connaître l’email ou le nom du client.
En ayant accès à ce type de données, les pirates informatiques disposent d’une certaine marge manœuvre : les dérober puis les revendre, suivre l’emplacement d’une personne ou encore usurper des identités. Et malgré la sonnette d’alarme tirée par Symantec, les réactions ont été trop peu nombreuses : 25 % des responsables de la protection des données des hôtels contactés n’ont pas répondu dans un délai de cinq semaines.
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.