Vos données de séjour à l'hôtel ont pu fuiter par le logiciel de réservation Misterbooking

Le 19 octobre, à 9 h 05, l'éditeur du logiciel de gestion hôtelière Misterbooking détecte un accès illégitime à l'un de ses serveurs. L'intrus est coupé dans la matinée. Mais d'après les messages envoyés par l'éditeur à ses hôtels clients, une partie des données a déjà été extraite.

Misterbooking est édité par Septeo Hospitality Solutions, filiale du groupe français Septeo, qui l'a racheté en 2025. Le logiciel gère les réservations, les fiches clients et l'activité d'environ 1 800 hôtels, selon l'éditeur. Les personnes exposées ne sont donc pas les hôtels eux-mêmes, mais leurs clients : vous, si vous avez séjourné dans l'un de ces établissements.

Qu'ont pu emporter les pirates ?

Selon le courriel de l'éditeur rapporté par Fuites Infos, il s'agit de l'identité et des coordonnées des clients et des personnes qui séjournaient avec eux, de leurs réservations et des documents que les hôtels ont joints aux dossiers. FrenchBreaches, qui a eu accès aux communications de l'éditeur, cite aussi des dates de naissance, des nationalités et des numéros de pièces d'identité. Les pièces jointes pourraient contenir des copies de documents d'identité, et les accompagnants peuvent inclure des mineurs.

Selon FrenchBreaches, l'intrus aurait exploité une faille logicielle pour consulter la base de données de production, mais l'origine de l'incident fait encore l'objet d'investigations. Il affirme en revanche qu'aucune donnée complète de carte bancaire n'a été extraite ni consultée, ces données étant stockées sur une infrastructure de paiement séparée.

Plusieurs questions restent ouvertes : combien de personnes et d'hôtels sont concernés, quelles données précises ont été prises, et qui est derrière l'attaque. Aucune revendication n'a été repérée à ce stade, et aucun usage frauduleux des données n'est établi. Septeo dit poursuivre ses investigations. Le service est partiellement indisponible, le temps d'isoler les fonctions touchées.

Le piège : un faux message de l'hôtel qui connaît vos dates

Un fraudeur qui connaît votre nom, votre hôtel et vos dates de séjour peut rédiger un message très crédible. C'est précisément ce contre quoi l'éditeur demande aux hôtels de mettre en garde leurs clients : des sollicitations qui citent les dates du séjour et demandent un paiement ou une nouvelle saisie de carte bancaire.

• Ne payez jamais à la suite d'un message reçu par e-mail, SMS ou messagerie, même s'il cite votre réservation exacte. Rappelez l'hôtel au numéro de son site officiel.
• Ne renvoyez pas de copie de pièce d'identité à la demande d'un message.
• Hôteliers : changez les mots de passe de vos comptes Misterbooking, comme le demande l'éditeur, prévenez vos équipes et évaluez la notification à la CNIL. En tant que responsable des données de vos clients, cette décision vous revient.

L'affaire rappelle d'autres fuites passées par un prestataire, comme celle qui a touché les remboursements de santé des clients de Malakoff Humanis. Ce sont les hôtels qui doivent désormais prévenir leurs clients. Reste à savoir combien le feront, et quand.