Arnaque WhatsApp aux réservations d'hôtel et fuite de données Transcontinents : ce qu'il faut savoir

Un message WhatsApp arrive au nom d'un hôtel. Le nom de l'établissement est le bon. Les dates du séjour aussi. Parfois la référence de réservation y figure. Le texte demande de confirmer, très vite, en ouvrant un lien. Depuis octobre 2026, ce scénario est décrit par une organisation professionnelle d'hôteliers, par une agence de voyages et par des rédactions qui ont lu leurs alertes. Le 30 octobre, l'agence réunionnaise Transcontinents a confirmé, sur son site, qu'une partie des données de réservation de ses clients avait été extraite. Le nombre de personnes n'est pas publié. Le geste, lui, est le même partout : un lien reçu dans la messagerie ne sert pas à payer un séjour déjà réservé.

La revue technique du 7 novembre résume ce fil en quelques paragraphes. Le texte ci-dessous s'adresse à quelqu'un qui a une réservation, ou à un proche qui en a une. Une autre arnaque WhatsApp, documentée en octobre par les autorités suisse et belge, vise le compte lui-même par un faux vote de concours. Elle demande un code ou un scan. Celle-ci demande un paiement ou une carte. Les deux circulent en même temps. Elles ne se règlent pas de la même façon.

Le message cite un vrai séjour

French Breaches écrit le 6 novembre 2026 que plusieurs logiciels de réservation ont été piratés, que des données de voyageurs ont été exposées, et que cela facilite des arnaques WhatsApp avec de fausses demandes de paiement. L'article, le même jour à 19 h 23, décrit le message type. Il semble venir de l'hôtel. Le nom est correct. Les dates aussi. Le montant de la réservation y figure parfois. Le texte parle d'un problème de paiement, et d'une annulation si l'on ne clique pas tout de suite.

French Breaches donne un exemple de phrase, à lire comme un modèle, pas comme un message saisi chez quelqu'un : « Votre réservation du 24 au 27 décembre nécessite une confirmation bancaire. Sans vérification dans les prochaines heures, votre séjour sera annulé. »

Ce procédé a un nom. L'hameçonnage, parfois appelé phishing, consiste à se faire passer pour un organisme connu, ou pour un contact, afin d'obtenir des données personnelles ou des coordonnées bancaires. La fiche Service-Public, vérifiée le 10 avril 2026, range dans ce délit les messages alarmistes qui contiennent un lien, et les appels. Ici, l'organisme imité est l'hôtel, l'agence, ou la plateforme où le séjour a été réservé.

Le piège tient dans ce décalage. Les renseignements sur le voyage sont vrais. L'expéditeur ne l'est pas. French Breaches le formule ainsi : les fraudeurs n'ont plus besoin d'écrire au hasard. Avec un nom, un téléphone et le détail d'un séjour, le message ressemble à un rappel de l'établissement.

Fuite de données Transcontinents : ce que l'agence a publié

Transcontinents est une agence de voyages à La Réunion. Sa page « Qui sommes-nous » la présente comme créée en 1959, avec six agences physiques : Saint-Denis, Saint-Pierre, Saint-Paul, Le Tampon, Saint-André et Saint-Louis, la dernière ouverte en 2024. L'alerte sur la fraude est signée « L'équipe Transcontinents – À La Réunion depuis 1959 ».

Cette alerte, mise à jour le 30 octobre 2026, dit que des clients reçoivent des messages WhatsApp frauduleux qui se font passer pour leur hôtel. Ces messages citent le nom de l'hôtel, les dates du séjour et la référence de réservation. Ils demandent de confirmer la réservation dans un délai très court, en cliquant sur un lien.

L'agence écrit : « Transcontinents ne vous demandera jamais de confirmer une réservation ou de payer via un lien envoyé par WhatsApp ou par SMS. » Même un message au nom de l'hôtel, s'il demande un paiement ou une confirmation en urgence, se vérifie d'abord auprès de l'agence.

Sur la même page, Transcontinents décrit ce que son enquête a établi. Des données de réservation ont été extraites de son outil de réservation par un accès non autorisé, les 20 et 21 octobre 2026. Il s'agit de noms, de coordonnées (e-mail, téléphone) et d'informations de réservation (hôtel, vols, dates). « Aucune donnée bancaire n'est concernée : notre outil n'en conserve pas. »

L'accès a été bloqué. La sécurité de l'outil a été renforcée. L'agence a informé la CNIL, l'autorité française qui contrôle l'usage des données personnelles, et elle a porté plainte. Les clients concernés sont informés individuellement par e-mail. La page dit qu'elle sera mise à jour si de nouveaux éléments apparaissent. Le nombre de personnes, le nom du logiciel et la façon dont l'accès a été obtenu ne sont pas écrits.

French Breaches, le 6 novembre, présente les escrocs comme exploitant ces informations pour de faux WhatsApp. C'est la formulation du compte. Fuites Infos, le même jour à 17 h 45, sous la signature de Christophe Boutry, marque la fuite « Confirmée par l'entreprise » et écrit une limite : « L'agence n'indique pas si ces messages proviennent de la fuite. » La lecture de la page va dans ce sens. Les deux faits y sont voisins. Le texte ne montre pas, techniquement, que chaque message a été composé à partir du fichier extrait. La référence de réservation est nommée dans la description des messages. La liste des données extraites, elle, parle d'hôtel, de vols et de dates.

Cyberattaque.org, le 6 novembre à 16 h 01, reprend l'alerte et va plus loin sur deux points. Il parle de noms et de prénoms, là où l'agence écrit « noms ». Il attribue aux messages le prétexte d'éviter une annulation ou de procéder à une vérification. L'agence, elle, parle d'un délai très court et d'une confirmation en urgence, ou d'un paiement. Le même article note que les 20 et 21 octobre sont aussi les dates d'un incident qu'il attribue à D-EDGE, un fournisseur d'outils pour les hôtels. Il écrit qu'aucune preuve publique ne dit que Transcontinents utilise cet outil, ni que les deux attaques ont la même origine. French Breaches conclut de son côté qu'aucun lien technique n'a été démontré entre l'attaque visant l'agence et les incidents des autres prestataires. Ce sont des affaires à traiter séparément. Le geste face au message est commun.

Les textes ouverts le 7 novembre sur cette fuite sont la page de l'agence, les deux messages de French Breaches, son article du soir, la fiche de Fuites Infos et l'article de Cyberattaque.org.

Ce que ça change pour un client de l'agence

Quelqu'un qui a réservé un hôtel, un vol ou un séjour par Transcontinents peut figurer parmi les personnes dont le nom, l'e-mail, le téléphone et le détail du voyage ont été copiés. L'agence parle des clients concernés. Elle ne dit pas que chaque dossier de l'agence a été emporté. Elle dit que ces clients reçoivent un e-mail individuel. Le 7 novembre, aucun texte public lu ici ne confirme que tous ces e-mails sont partis, ni combien de dossiers l'extraction couvre.

La carte bancaire n'était pas dans l'outil, selon l'agence. Un débit qui apparaîtrait sur le compte ne sort donc pas, d'après cette page, d'un numéro de carte copié chez Transcontinents. Le risque décrit est en aval : un message qui connaît déjà le séjour, et qui demande ensuite la carte, ou un paiement, sur une page qui n'est pas celle de l'agence.

Un WhatsApp qui cite l'hôtel, les dates et la référence peut donc être frauduleux, y compris quand chaque détail du voyage est exact. La réservation, dans l'alerte, n'est pas décrite comme annulée. L'urgence du message ne prouve pas que le dossier est menacé. L'agence demande de vérifier auprès d'elle, au numéro habituel ou au 0262 94 28 00. Ce numéro est celui imprimé sur l'alerte. Un numéro écrit dans le WhatsApp, ou un numéro trouvé dans un autre message, ne le remplace pas.

Si des coordonnées bancaires ont déjà été saisies, ou si un paiement est parti par le lien, l'agence demande trois choses : appeler la banque pour faire opposition sur la carte, déposer plainte à la police ou à la gendarmerie avec des captures d'écran du message, et écrire à resa@transcontinents.com. Les questions sur les données personnelles vont à direction@transcontinents.com.

Un e-mail qui se présente comme l'information promise par l'agence se juge au même critère. Fuites Infos demande de ne pas se connecter depuis un lien reçu par e-mail, et de passer par le site officiel. L'alerte, elle, dit que l'agence ne demande jamais de confirmer ou de payer par un lien WhatsApp ou SMS. Un lien de paiement, dans l'un ou l'autre canal, sort de ce que la page autorise.

Pourquoi les logiciels de réservation intéressent les escrocs

Un hôtel ne tient pas ses arrivées dans un cahier seulement. Il utilise un logiciel de gestion, parfois appelé PMS, pour property management system : le programme où sont enregistrés le nom du client, son téléphone, la chambre, les dates et l'état du paiement. Le voyageur ne voit en général pas le nom de ce logiciel. Il réserve sur le site de l'hôtel, sur celui d'une agence, ou sur une plateforme. Les fiches, elles, sont chez l'éditeur du programme, ou dans l'outil de l'agence.

French Breaches explique le calcul des attaquants. Le logiciel rassemble des noms, des coordonnées et des dates pour beaucoup de voyageurs. Récupérer ces fiches dispense de voler la carte tout de suite. Il reste à écrire en se faisant passer pour l'établissement, avant l'arrivée, pendant que le séjour est encore une chose à laquelle la personne tient. Des informations prises des semaines plus tôt peuvent encore servir au moment du départ. L'article le dit après avoir cité des séjours dérobés longtemps à l'avance chez d'autres acteurs. Ces autres dossiers n'ont pas été rouverts un par un pour ce texte.

Additionner les clientèles pour annoncer « des millions de réservations volées » est une phrase que French Breaches écarte. Aucun bilan consolidé ne le permet. Plusieurs incidents peuvent concerner les mêmes hôtels ou les mêmes voyageurs. Ce n'est pas une seule attaque contre tout le tourisme.

Medialog et Mister Booking : ce que le GHR et la presse ont écrit

Le GHR, organisation qui s'adresse aux hôteliers, a publié deux alertes en octobre. Elles ne portent pas sur Transcontinents. Elles décrivent le même type de message.

Le 20 octobre 2026, le GHR écrit qu'à la suite d'un incident de sécurité concernant Medialog, des tentatives d'hameçonnage utilisant de véritables informations de réservation ont été rapportées. Ces messages peuvent inciter les clients à effectuer un paiement ou à communiquer des informations personnelles. Parmi les canaux à surveiller, le GHR cite le SMS, WhatsApp et le courriel. La page ne donne pas le nombre d'hôtels, ne liste pas les catégories de données et ne date pas l'intrusion. Le GHR dit s'être rapproché de Medialog, qui lui a indiqué avoir ouvert un service dédié, et qui invite les professionnels à contacter ses équipes.

La consigne aux équipes des hôtels vaut aussi pour un client : ne pas se fier à une demande de paiement au seul motif qu'elle reprend des informations exactes sur une réservation, et vérifier par un canal déjà connu, indépendant du message.

Numerama, le 7 octobre 2026 à 11 h 13, sous la signature d'Amine Baba Aissa, écrit que l'éditeur parisien Medialog a confirmé une intrusion dans son logiciel Medialog Hôtel, dans une notification adressée aux établissements. Des données d'identité et de réservation de clients d'environ 1 500 établissements ont été extraites entre fin septembre et début octobre 2026. Numerama précise que les personnes concernées sont clientes des hôtels, pas de Medialog. L'éditeur s'adresse surtout à l'hôtellerie indépendante et aux petits groupes, avec des établissements de 14 à 400 chambres. Numerama écrit qu'il affirme, sur son site, en équiper 1 400.

Selon la chronologie que Numerama attribue à French Breaches, la faille existait depuis le 29 juin 2026, les accès illégitimes se sont étalés du 27 septembre au 5 octobre, et l'essentiel de l'extraction, dans la nuit du 4 au 5 octobre, porterait sur environ 135 gigaoctets. Les fiches décrites contiennent l'identité, la date et le lieu de naissance, la nationalité, les adresses, le téléphone, des préférences, et le détail des réservations : dates, chambre, numéro de voucher, montant des acomptes. Un voucher, ici, est le bon qui accompagne la réservation. Medialog assure, selon Numerama, qu'aucune donnée de carte bancaire n'a été touchée, et que les pièces d'identité n'étaient pas accessibles depuis le service d'abord mis en cause. L'éditeur n'a communiqué ni le nombre de voyageurs ni la liste des hôtels. Il reconnaît que ses journaux ne permettent pas d'exclure des accès antérieurs au 16 septembre. Au moment de publier, Numerama écrivait attendre encore des précisions de Medialog. Les campagnes d'hameçonnage, dans cet article, « auraient déjà débuté ».

Ulysse, le 9 octobre 2026, reprend ces volumes en les présentant comme des éléments techniques publiés par l'entreprise et relayés par French Breaches : accès du 27 septembre à 22 h 23 jusqu'au 5 octobre à 11 h 03, extraction principale du 4 octobre à 14 h au 5 octobre à 7 h 46, environ 135 gigaoctets pour près de 1 500 établissements. Ulysse rappelle que 1 500 compte des hôtels, pas des voyageurs. L'article décrit des WhatsApp qui reprennent le nom, l'établissement, les dates et la référence, puis un lien vers un faux site qui réclame les coordonnées bancaires, ou une demande d'acompte avant l'arrivée. Phrase utile, et limite : « À ce stade, rien ne permet d'affirmer que les auteurs de ces arnaques sont les mêmes que ceux qui ont extrait les données chez Medialog. »

Le 23 octobre 2026, le GHR publie une seconde alerte, sur Mister Booking. L'incident a été détecté le 19 octobre 2026. Selon l'éditeur, un tiers a obtenu un accès illégitime à un serveur de l'application et a pu extraire « une partie significative des données enregistrées ». Les données susceptibles d'être concernées comprennent l'identité et les coordonnées des clients et de leurs accompagnants, les informations de réservation, et les documents joints aux dossiers. Le GHR écrit : « Il semblerait qu'aucune donnée complète de carte bancaire ne serait concernée. » La phrase est doublement prudente. Le nombre de voyageurs n'est pas donné.

Avec ces renseignements, écrit le GHR, un fraudeur peut écrire en connaissant déjà le séjour, se faire passer pour l'hôtel, et demander un paiement ou une modification de coordonnées bancaires. La vérification recommandée passe par un canal habituel, indépendant du message. L'adresse support_hotel@misterbooking.com, sur cette page, est celle des établissements, pas un numéro pour les voyageurs.

Booking.com : un autre circuit, le même genre de demande

Ces affaires d'octobre ne sont pas la première fois qu'un séjour réel sert à faire payer une seconde fois. La BBC, le 15 avril 2026, sous la signature de Joe Tidy, rapporte un accès non autorisé chez Booking.com. Dans des e-mails lus par la rédaction, la plateforme écrit avoir constaté une activité suspecte sur un certain nombre de réservations, et avoir contenu le problème. Des tiers ont pu accéder aux noms, aux adresses e-mail, aux numéros de téléphone et au détail de réservations passées et en cours. Les informations financières n'ont pas été prises dans ses systèmes. Booking.com a mis à jour les codes PIN des réservations concernées et prévient les clients touchés. La société refuse de dire combien de personnes sont concernées, et dans quelles régions. Des clients ont dit à la BBC recevoir déjà des messages suspects.

La BBC rappelle des vagues précédentes, qu'elle couvre depuis mars 2023. Dans ces vagues, des comptes Booking.com d'hôtels avaient été pris. Les messages partaient ensuite depuis l'espace de l'hôtel, par e-mail ou par texto, avec les vraies informations du séjour. L'accès d'avril 2026, écrit la BBC, change une étape : les fraudeurs n'ont plus besoin, pour ce lot de données, d'entrer dans l'administration Booking.com de l'hôtel. Ils peuvent écrire directement au client.

TechCrunch, le 13 avril 2026, sous la signature de Lorenzo Franceschi-Bicchierai, cite Courtney Camp, porte-parole de Booking.com. La société a constaté une activité suspecte : des tiers non autorisés ont pu accéder à certaines informations de réservation. Elle a contenu l'incident, mis à jour le code PIN de ces réservations et informé les clients. La porte-parole n'a pas dit combien de personnes étaient concernées. TechCrunch écrit que la société a dit au Guardian que les informations financières n'avaient pas été consultées. Une mise à jour de l'article précise que les adresses postales n'ont pas été prises. Une personne ayant publié la notification sur Reddit a dit à TechCrunch avoir reçu, environ deux semaines plus tôt, un message WhatsApp contenant des détails de réservation et des informations personnelles. TechCrunch présente cela comme un indice. C'est un témoignage, pas un décompte.

Booking.com a déclaré à la BBC qu'il ne demande jamais aux clients de communiquer les coordonnées d'une carte par e-mail, par téléphone, par WhatsApp ou par texto, ni d'effectuer un virement différent de celui prévu dans la confirmation de réservation. Luis Corrons, de Norton, dit à la BBC que ces données rendent l'arnaque plus dangereuse : le vrai établissement, les vraies dates et les bons contacts donnent au message l'allure d'un service client ordinaire. Norton appelle ce procédé un détournement de réservation, reservation hijack dans le texte de la BBC, qui reprend le mot.

Rien, dans les pages lues, ne relie cet accès d'avril chez Booking.com à l'extraction des 20 et 21 octobre chez Transcontinents, ni aux incidents Medialog et Mister Booking. Une réservation passée sur Booking.com se vérifie dans l'application ou sur le site ouvert soi-même, ou en appelant l'établissement au numéro de la confirmation d'origine. Un lien reçu par WhatsApp ne devient pas ce canal parce qu'il cite le bon hôtel.

Que faire

Le premier geste est de ne pas payer, et de ne rien saisir, depuis le message.

• Ne pas ouvrir le lien. Ne pas communiquer de coordonnées bancaires, ni un code reçu par SMS après une saisie. French Breaches le dit pour le code bancaire. La fiche Service-Public le dit pour les informations personnelles : une administration ou une grande plateforme ne les demande pas par message ou par téléphone. Un hôtel qui détient déjà la réservation n'a pas besoin d'une « vérification de carte » par WhatsApp.
• Ouvrir soi-même l'application ou le site où le séjour a été réservé, en tapant l'adresse, ou en passant par l'icône déjà installée. Regarder si un paiement est réellement en attente, et selon quelles conditions.
• Appeler l'établissement ou l'agence au numéro de la confirmation d'origine, ou au numéro lu sur son site, après avoir ouvert ce site soi-même. Ne pas rappeler le numéro qui vient d'écrire. Pour Transcontinents, l'alerte donne le numéro habituel de l'agence, ou le 0262 94 28 00.
• Conserver une capture du message et, si le lien a été ouvert sans rien saisir, l'adresse de la page, avant d'effacer. Ces éléments servent à un signalement et, si de l'argent est parti, à une plainte. Transcontinents demande ensuite de signaler l'expéditeur dans WhatsApp, par le menu de la conversation, puis « Signaler », et de supprimer le message.

Les guichets de signalement ne reçoivent pas tous le même objet. Les mélanger fait perdre le signalement.

Le 33700 est la plateforme contre les SMS et les appels indésirables. Un signalement part vers les opérateurs, qui peuvent couper un numéro. Service-Public le réserve aux SMS et aux appels. Un message WhatsApp ne se transfère pas au 33700 : ce n'est pas un SMS. Si le même prétexte arrive aussi par texto ou par appel, là, le 33700 est le bon guichet, par SMS au 33700 ou par le formulaire du site.

L'adresse du faux site, copiée sans s'y connecter, se signale sur Phishing Initiative. Le service, lu pour cet article, dit que chaque adresse signalée est examinée, et qu'un site reconnu frauduleux peut être bloqué dans les navigateurs. La démarche Service-Public, vérifiée le 10 avril 2026, décrit ce formulaire.

PHAROS est le nom que Service-Public donne à la plateforme internet-signalement.gouv.fr. Dans la fiche hameçonnage du 10 avril 2026, cette plateforme est indiquée pour certains courriels seulement : l'escroquerie au colis et l'escroquerie à la loterie. D'autres pages d'aide de Service-Public la présentent comme le guichet du ministère de l'Intérieur pour un contenu ou un comportement illicite en ligne. L'accueil du site n'a pas renvoyé de texte exploitable lors de la lecture faite pour cet article. Pour un faux site de paiement hôtelier, le formulaire dont le mode d'emploi a été lu est celui de Phishing Initiative.

La page Cybermalveillance.gouv.fr/signalement dit orienter vers la plateforme concernée. Elle ne contient pas, dans ce qui a été lu, de fiche propre à cette vague. Fuites Infos présente ce dispositif public comme une aide gratuite aux victimes. Après une saisie de carte ou un paiement, l'interlocuteur du compte est d'abord la banque.

Si la carte a été saisie, ou si un paiement est parti, Service-Public demande de contacter la banque pour faire opposition, contester les opérations et demander le remboursement selon le cas. Transcontinents formule la même urgence : opposition sur la carte, tout de suite. Une opposition bloque la carte. Elle ne se décide pas en rappelant le numéro du WhatsApp, ni en dictant un code à quelqu'un qui appelle « de la part de la banque » juste après. La banque se joint par le numéro au dos de la carte, ou par l'application de la banque déjà installée.

La plainte se dépose au commissariat ou à la gendarmerie, ou par courrier au procureur, y compris contre X si l'auteur est inconnu. Service-Public le rappelle pour l'hameçonnage. Transcontinents demande d'y joindre les captures du message.

Une relance ne change pas la règle. Un second WhatsApp, un appel, ou un e-mail qui insiste, qui cite le premier silence, ou qui parle d'une annulation dans l'heure, répète la même demande. Le fait de connaître le séjour reste explicable par les données déjà décrites. Il ne devient pas une preuve parce que le message revient. French Breaches écrit que des informations récupérées des mois avant un voyage peuvent encore servir au moment du départ. La vigilance dure donc jusqu'au séjour, et elle concerne aussi un proche dont le numéro figurait sur le dossier : le GHR, pour Mister Booking, cite les accompagnants parmi les données susceptibles d'avoir été extraites.

Le compte WhatsApp, dans cette arnaque-ci, n'est pas l'objet demandé par les alertes d'octobre sur les réservations. Personne n'a à dicter le code à six chiffres de WhatsApp, ni à scanner un carré « Appareils connectés », pour confirmer un hôtel. Ce geste-là appartient à l'autre vague, celle du faux concours. Si un message de réservation le demande quand même, c'est une seconde arnaque dans le même fil. Le code ne se transmet pas.