Guide
Sécurité informatique dans un hôtel : ce que révèlent les arnaques Booking.com et Expedia
Les attaques récentes contre les hôtels ne piratent pas les plateformes de réservation : elles volent les identifiants du personnel qui s'y connecte.
Entre 2023 et 2026, une campagne d'arnaque surnommée « I Paid Twice » a touché des hôtels partenaires de Booking.com et d'Expedia dans plusieurs pays. Elle ne s'attaque pas aux plateformes elles-mêmes, mais aux comptes de leurs hôtels clients, avant de se retourner contre leurs voyageurs. Le mécanisme est instructif parce qu'il ne repose sur aucune faille technique compliquée : il repose sur un mot de passe volé.
Gaëtan Grond, fondateur de Front Desk
Dix ans en hôtellerie, en France et au Royaume-Uni, avant de créer Front Desk. Les guides de ce site sont écrits à partir de ce qu'il a vu en réception et avec les équipes clientes.
En bref
Les attaquants ne piratent pas Booking.com ou Expedia : ils volent, par un faux formulaire de vérification, les identifiants d'une personne de l'hôtel qui a accès à l'extranet de réservation. Une fois connectés, ils lisent les réservations réelles et contactent les clients en se faisant passer pour l'hôtel, pour leur soutirer un paiement. Ce qui protège une équipe n'est pas un logiciel, mais des habitudes : un compte par personne, aucun mot de passe partagé ni affiché près d'un poste, et de la méfiance envers toute page qui demande une manipulation inhabituelle pour se « vérifier ».
Ce qui s'est passé chez des hôtels partenaires de Booking.com et Expedia
Le scénario, documenté par plusieurs éditeurs de sécurité informatique, commence par un e-mail ou un message adressé à un employé d'hôtel : une réservation à confirmer, une facture à consulter, une vérification à faire. La page qui s'ouvre ressemble à un contrôle anti-robot ordinaire, mais elle demande une manipulation inhabituelle, comme ouvrir la fenêtre « Exécuter » de Windows et y coller un texte. Cette manipulation installe en réalité un logiciel malveillant qui vole les identifiants enregistrés sur l'ordinateur, dont ceux de l'extranet de réservation.
Une fois connectés à la place de l'hôtel, les attaquants voient les réservations réelles : nom du client, dates, référence. Ils contactent ensuite les voyageurs par message, via l'application de la plateforme ou par WhatsApp, en se faisant passer pour l'hôtel, avec ces détails exacts pour paraître crédibles, et leur demandent de « revalider » leur carte bancaire sur une fausse page de paiement.
Selon Action Fraud, l'organisme britannique de signalement des fraudes, cité par plusieurs médias spécialisés, ce type d'arnaque a fait l'objet de 532 signalements entre juin 2023 et septembre 2024 au Royaume-Uni, pour environ 370 000 livres sterling de pertes. Ce chiffre concerne les voyageurs trompés, pas les hôtels : leur préjudice à eux se mesure surtout en confiance perdue et en temps passé à rassurer des clients qui ont l'impression d'avoir été arnaqués par l'hôtel lui-même.
Pourquoi cette arnaque fonctionne
Elle fonctionne parce qu'elle ne cherche pas de faille dans Booking.com ni dans Expedia : ces plateformes n'ont pas été piratées. Elle cherche le maillon le plus simple à atteindre, une personne qui clique un lien pendant un service chargé, sur l'ordinateur qui sert à toute la réception.
Elle fonctionne aussi parce que le message final, celui reçu par le client, contient des informations vraies : son nom, ses dates, sa référence de réservation. C'est ce qui le rend convaincant, et c'est aussi ce qui rend l'hôtel responsable aux yeux du client, même s'il en est lui-même la victime.
Le signal à connaître
Aucune vérification légitime, ni de Booking.com, ni d'Expedia, ni d'aucun autre service, ne demande d'ouvrir la fenêtre « Exécuter » de Windows (Windows + R) et d'y coller quelque chose pour prouver qu'on n'est pas un robot. Une page qui le demande est une tentative de piéger l'ordinateur, pas un contrôle anti-robot.
Ce qui protège une équipe, concrètement
Aucune de ces mesures ne dépend d'un logiciel coûteux. Ce sont des habitudes, et elles tiennent tant que toute l'équipe les connaît, pas seulement la direction.
Un compte par personne, jamais un identifiant partagé
Un compte utilisé par plusieurs personnes au comptoir se retrouve avec un mot de passe connu de tous, donc affiché quelque part pour ne pas l'oublier. C'est souvent le premier maillon qui cède.
Rien d'écrit en évidence près d'un poste de travail
Un mot de passe collé sur l'écran ou glissé sous le clavier annule n'importe quelle autre précaution. S'il faut l'écrire, il se range ailleurs qu'à portée d'un client accoudé au comptoir.
Taper l'adresse plutôt que suivre un lien
Pour se connecter à un extranet de réservation, l'habitude la plus sûre est de taper l'adresse directement dans le navigateur plutôt que de cliquer un lien reçu par e-mail ou par message, même quand le message semble venir de la plateforme elle-même.
Changer un mot de passe au moindre doute, sans attendre une consigne
Une personne qui a un doute sur un message reçu ou une page ouverte n'a pas à attendre l'accord de la direction pour changer son mot de passe. Le signaler ensuite compte autant que l'avoir fait tout de suite.
Prévenir la plateforme et les clients concernés en cas de doute
Si un accès a pu être compromis, Booking.com et Expedia ont chacun une procédure pour sécuriser un compte extranet et alerter sur de faux messages. Prévenir aussi les clients dont les réservations ont pu être vues limite les dégâts sur la confiance.
Le point faible qui ne vient jamais d'un logiciel
Dans la plupart des hôtels, la faiblesse n'est pas technique, elle est organisationnelle : un mot de passe de l'extranet de réservation connu de toute l'équipe parce qu'il ne change jamais, un même identifiant utilisé sur plusieurs outils par simplicité, un post-it près de l'écran de la réception. Aucun antivirus ne corrige ça.
La bonne nouvelle est que ce point faible se corrige sans acheter quoi que ce soit : en donnant à chaque personne son propre accès, sur chaque outil qui le permet, et en faisant de la vigilance sur les liens et les pages inhabituelles un réflexe de prise de poste, au même titre que compter la caisse.
Ce que Front Desk fait, et ne fait pas, sur ce sujet
Front Desk n'a aucun accès à vos comptes Booking.com ou Expedia, et ne peut ni les protéger ni s'y substituer : ce sont deux systèmes séparés. Ce que l'outil applique, c'est le même principe qui protège partout ailleurs, à ses propres outils.
- Chaque personne de l'équipe a son propre compte, sans identifiant partagé, sur toutes les offres.
- Les données sont hébergées en France, à Paris, chez Scaleway, avec des sauvegardes automatiques toutes les 24 heures.
- Les échanges entre votre navigateur et nos serveurs sont chiffrés.
- L'accès aux données d'un établissement est réservé aux comptes de cet établissement, selon le rôle de chacun.
Questions fréquentes
Front Desk peut-il empêcher ce type d'arnaque sur Booking.com ou Expedia ?
Non, et il faut le dire clairement : Front Desk n'a aucun accès aux comptes extranet de ces plateformes et ne peut ni les surveiller ni les protéger. Ce sont des systèmes entièrement séparés. Ce que Front Desk apporte, c'est l'habitude d'un compte individuel par personne, appliquée à vos propres outils internes.
Faut-il changer les mots de passe de l'équipe à intervalles réguliers ?
Il n'existe pas de règle unique qui convienne à tous les établissements. Le principe qui protège le plus, quel que soit le rythme choisi, reste qu'un mot de passe ne soit jamais partagé entre plusieurs personnes ni affiché en évidence près d'un poste de travail.
Comment reconnaître une fausse demande de vérification ?
Le signal le plus fiable est la demande d'une manipulation inhabituelle : ouvrir la fenêtre « Exécuter » de Windows, coller un texte fourni par la page, ou installer quoi que ce soit pour « prouver qu'on n'est pas un robot ». Aucune vérification légitime ne le demande. Dans le doute, fermer la page et se connecter en tapant l'adresse habituelle directement dans le navigateur.
Où sont hébergées les données de Front Desk ?
En France, à Paris, chez Scaleway. Les échanges entre votre navigateur et nos serveurs sont chiffrés, et la base de données est sauvegardée automatiquement toutes les 24 heures. Le détail complet figure dans notre politique de confidentialité.