Une fuite chez le logiciel de réservation elloha sert à piéger des voyageurs sur WhatsApp

Ils avaient réservé un hébergement, et leur séjour n'avait pas encore commencé. Des voyageurs ont alors reçu sur WhatsApp des messages les invitant à saisir leurs coordonnées bancaires. Point commun : l'établissement où ils avaient réservé utilisait les outils d'elloha, un éditeur de logiciels de réservation et de diffusion d'offres pour les hébergeurs et les professionnels du tourisme, basé à Perpignan.

elloha confirme. Dans un message adressé à ses établissements clients, relayé le 27 octobre par les sites spécialisés FrenchBreaches et Fuites Infos, l'éditeur indique avoir détecté un incident de sécurité le 25 octobre à 11 h 51. Il dit avoir bloqué l'accès en cause et déployé des correctifs, et considère l'incident comme résolu. Le nombre de réservations et de voyageurs touchés n'a pas été communiqué.

Quelles données ont été exposées ?

Selon elloha, l'incident porte sur les noms et prénoms des voyageurs et sur des détails de leurs dossiers de réservation. Le périmètre est encore à l'étude, mais il serait limité aux réservations à venir, pour lesquelles l'arrivée n'a pas encore été enregistrée. Les numéros de téléphone posent question. elloha ne les cite pas, alors que l'envoi de messages WhatsApp suppose que les escrocs les connaissaient, relève Fuites Infos. FrenchBreaches, lui, les range parmi les données compromises.

Un détail limite les dégâts. Booking et Airbnb masquent les adresses e-mail de leurs clients derrière des adresses intermédiaires, que le fraudeur n'a pas pu exploiter, selon l'éditeur. Aucun vol de données bancaires dans les systèmes d'elloha n'est confirmé à ce stade : ce sont les voyageurs qu'on pousse à les livrer eux-mêmes.

Pourquoi ce piège fonctionne

Un message envoyé à quelqu'un qui attend réellement de partir paraît bien plus crédible qu'un hameçonnage ordinaire. Ce n'est pas le premier logiciel de réservation touché ce mois-ci : Misterbooking avait lui aussi signalé une fuite de données de séjour à l'hôtel.

Les bons réflexes

Si vous avez un séjour réservé dans les semaines qui viennent, partez du principe qu'un message inattendu peut connaître votre réservation.

• Ne saisissez jamais vos coordonnées bancaires depuis un lien reçu par WhatsApp ou SMS, même si le message mentionne votre séjour.
• En cas de doute, contactez l'établissement avec les coordonnées qui figurent sur votre confirmation de réservation, jamais avec celles du message.
• Si vous avez déjà saisi vos données, prévenez votre banque sans attendre.
• Le site cybermalveillance.gouv.fr propose une aide gratuite.

Pour les hébergeurs, l'affaire est aussi réglementaire. Au sens du RGPD, ce sont en principe les établissements, responsables des données de leurs clients, qui doivent notifier la fuite à la CNIL. elloha, leur sous-traitant, leur transmet les informations prévues par l'article 33 pour une première notification, à compléter ensuite. La liste des réservations potentiellement concernées est consultable dans le menu « Réservations » de leur espace professionnel. L'éditeur prépare de son côté une notification à la CNIL et réunit des éléments en vue d'une éventuelle plainte.

Restent à connaître le nombre de voyageurs touchés et l'origine de l'accès, qu'elloha dit encore étudier.