Fausses demandes de paiement via Booking.com : ce qu'un hôtel peut faire

Ce qui se passe

En août 2025, le Centre pour la Cybersécurité Belgique (CCB) a mis en garde les hôtels contre une attaque de phishing qui passerait par Booking.com et par les comptes des hôtels et d'autres hébergements (CCB, Safeonweb@work). Des clients reçoivent, via Booking.com ou par e-mail, une demande de paiement qui mentionne leur nom, leurs dates d'arrivée et de départ et le numéro de réservation. Comme ces données sont exactes, le message semble venir de l'hôtel.

Le CCB ne précise pas comment les criminels accèdent à ces comptes. Microsoft décrit une campagne qui peut leur ouvrir cet accès, sans toutefois la relier à l'avertissement du CCB (Microsoft Threat Intelligence, 13 mars 2025). À partir de décembre 2024, et toujours active en février 2025, elle visait le personnel hôtelier susceptible de travailler avec Booking.com, notamment en Europe. Les e-mails parlaient d'un avis négatif, d'une demande d'un futur client, d'une promotion en ligne ou d'une vérification du compte. Un lien, parfois placé dans un PDF, menait à une fausse page de vérification « Je ne suis pas un robot ». L'employé devait appuyer sur une combinaison de touches qui ouvre la fenêtre Exécuter de Windows, puis y coller une commande et la lancer. Cette commande téléchargeait un logiciel malveillant qui vole les identifiants et les données financières ; certaines versions permettent aussi au criminel de prendre le contrôle de l'ordinateur à distance.

Ce que Booking.com ne demande jamais

Booking.com écrit qu'il ne demande jamais aux voyageurs de communiquer leurs données de carte bancaire par e-mail, téléphone, SMS ou WhatsApp, ni d'effectuer un virement non conforme aux conditions de paiement indiquées dans leur confirmation de réservation (Booking.com, conseils de sécurité pour les voyageurs). Aux hébergements partenaires, il indique que ses collaborateurs ne vous demanderaient ni le mot de passe de votre compte Booking.com ni de numéros de carte, et seulement l'identifiant de votre établissement (Booking.com, conseils de sécurité pour les partenaires).

La réception dispose ainsi d'une réponse claire quand un client appelle : une demande de données de carte par message, ou d'un virement non conforme à la confirmation de réservation, n'est pas authentique. Si une demande semble correcte mais que le client a un doute, il appelle l'hôtel au numéro figurant dans la confirmation avant de payer. Vérifiez d'abord si votre hôtel envoie lui-même des liens de paiement, par exemple pour des tarifs prépayés, afin que le personnel ne nie pas une demande réelle.

Les mesures à prendre à l'avance

1. Activez la vérification en deux étapes sur chaque compte de l'hôtel, en commençant par la boîte mail, comme le conseille le CCB. Booking.com demande aussi à ses partenaires de l'activer sur leur compte Booking.com.
2. Expliquez à votre personnel qu'aucun site authentique ne demande d'appuyer sur des touches et de coller quelque chose pour prouver qu'on n'est pas un robot. Si une telle page s'affiche, il faut la fermer et prévenir le responsable.
3. Consultez les messages concernant des avis, des plaintes ou des problèmes de compte directement dans l'extranet de Booking.com, et non via un lien ou une pièce jointe d'e-mail.

Quand un client appelle au sujet d'une demande de paiement suspecte

• Demandez au client de ne pas payer et de ne pas cliquer sur le lien.
• Rappelez-lui les conditions de paiement indiquées dans la confirmation de réservation.
• Depuis un autre appareil fiable, changez les mots de passe de la boîte mail et du compte Booking.com, déconnectez toutes les autres sessions et contrôlez que la vérification en deux étapes est active. Faites vérifier l'ordinateur qui a ouvert l'e-mail avant de l'utiliser à nouveau, car le logiciel malveillant peut aussi capter les nouveaux mots de passe.
• Signalez immédiatement l'incident à Booking.com.
• Prévenez les clients ayant une réservation en cours que de faux messages circulent, et donnez-leur une adresse e-mail ou un numéro de téléphone où ils peuvent vous joindre en toute sécurité, comme le conseille le CCB.
• Transférez le message à suspect@safeonweb.be et signalez les faits à la police locale, comme le conseille le CCB.
• Si le client a déjà payé, conseillez-lui d'appeler sa banque sans attendre.

Exercez-vous avec votre équipe

Notre page pour les hôtels replace ce risque dans l'ensemble du réseau et des comptes d'un hôtel. Lors d'un atelier en hôtel, nous nous servons de cet exemple pour montrer comment protéger les comptes et ce que la réception répond quand un client appelle.