Des pirates s’attaquent aux réservations de chambres d’hôtel sur le site Booking.com. Ils se font d’abord passer pour un client afin d’infecter les ordinateurs des hôteliers. Puis, en se faisant passer pour un hôtelier, les hackers tentent de dérober la carte bancaire des clients.

au sommaire

    Le Groupement national des indépendants hôtellerie & restauration (GNI) vient de lancer une alerte sur deux cyberattaques en cours qui visent les utilisateurs de Booking.com, aussi bien les clients que les hôteliers.

    Les cybercriminels commencent par effectuer une réservation via Booking.com. Ils contactent ensuite l'hôtelier en indiquant que la chambre est pour leurs parents âgés, qui ont quelques difficultés avec les cartes. Le message leur demande de cliquer sur un lien pour confirmer l'itinéraire sur Google Maps. L'adresse est masquée par le service Bitly, et renvoie vers un virus. Celui-ci collecte les mots de passe enregistrés dans les navigateurs Web, les cookies de sessions ainsi que d'autres éléments. Les hackers peuvent alors se connecter à l'extranetextranet de Booking.com pour modifier le nom et les coordonnées de l'hôtel, ainsi que les disponibilités et les tarifs.

    Du phishing pour obtenir la carte bancaire

    La seconde attaque est un hameçonnagehameçonnage plus classique et vise les clients. Les pirates les contactent directement soit via la messageriemessagerie de Booking.com, soit via WhatsAppWhatsApp. Ils se font passer pour l'hôtelier, et indiquent que la carte bancaire n'a pu être vérifiée pour confirmer la réservation. La victime est alors invitée à cliquer sur un lien pour saisir sa carte bancaire sur un faux site qui ressemble à Booking.com.

    Le GNI indique ignorer si la seconde attaque découle directement de la première, ou si les pirates utilisent une faille dans Booking.com pour obtenir les coordonnées des clients. Le site toutefois a affirmé auprès de l'AFP ne pas être à l'origine de la faille de sécurité, avoir verrouillé les comptes compromis et informé les clients concernés. En cas de doute concernant un message, le mieux est de contacter directement l'hôtel afin de vérifier qu'ils sont bien à l'origine de la demande.