Sécurité des données en location courte durée : les informations des voyageurs sont-elles protégées ?

Aujourd’hui, toute activité de location courte durée repose sur des données. Un seul compte de gestionnaire peut contenir les passeports des voyageurs, leurs numéros de téléphone, des références de paiement, des codes d’accès, les coordonnées bancaires des propriétaires et les clés de toutes les annonces publiées sur les OTA. C’est précisément cette concentration qui rend le secteur si attractif pour les cybercriminels, et 2026 a montré à quel point la chaîne peut être fragile. En avril, Booking.com a commencé à informer des voyageurs que des tiers non autorisés avaient accédé à des informations de réservation, dont les noms, adresses e-mail, numéros de téléphone et détails du séjour, et a réinitialisé le code PIN des réservations concernées. Les données de paiement stockées sur la plateforme n’ont pas été touchées, mais les informations exposées étaient exactement celles dont un fraudeur a besoin pour se faire passer de façon crédible pour l’hôte.

Cette analyse passe en revue chaque couche de l’écosystème, des extranets des OTA aux serrures connectées, pour répondre à une question : les données d’un gestionnaire de location courte durée sont-elles vraiment en sécurité aujourd’hui, et quelles mesures réduisent concrètement le risque ?

Pourquoi les gestionnaires sont une cible de choix

L’écosystème de la location courte durée s’appuie sur de nombreux outils connectés entre eux : OTA, PMS, channel manager, messagerie voyageurs, check-in en ligne, solutions de paiement, serrures connectées, applications de ménage et logiciels de comptabilité. Chaque intégration ajoute un identifiant de plus, une clé API de plus et un prestataire de plus qui conserve une copie des données.

Les données mondiales d’enquêtes sur les violations publiées en 2026 montrent comment cette structure est exploitée. Les violations impliquant un tiers ont atteint 48 %, contre 30 % un an plus tôt. L’exploitation de failles logicielles a dépassé le vol d’identifiants comme principal point d’entrée, avec 31 %, et le ransomware est présent dans 48 % des cas.

Ce que contient un compte de gestionnaire type	Pourquoi les criminels le convoitent
Pièces d’identité et données de la fiche de police	Usurpation d’identité et revente sur des marchés illégaux
Noms, téléphones, e-mails et détails de réservation	Arnaques au paiement très convaincantes visant les voyageurs
Codes de porte et accès aux serrures connectées	Entrée physique dans des logements occupés ou vides
Identifiants des extranets OTA	Détournement des annonces, des versements et des conversations
Coordonnées des propriétaires et comptes bancaires	Fraude par détournement de factures et de reversements

Menace n° 1 : un phishing calqué sur le parcours de réservation

La menace la plus active reste le phishing ciblant les équipes de réservation. Depuis fin 2024, des chercheurs en sécurité suivent des vagues successives d’e-mails usurpant l’identité de Booking.com et envoyés à des équipes hôtelières en Europe, en Amérique du Nord, en Asie et en Océanie. Les leurres reprennent des situations du quotidien : la réclamation d’un client, une réservation de dernière minute, un avis négatif ou une demande de vérification du compte.

Beaucoup de ces campagnes utilisent une technique appelée ClickFix. Une fausse page de captcha demande au collaborateur de copier puis d’exécuter une commande sur son propre ordinateur, ce qui installe discrètement un logiciel de vol d’identifiants ou un outil d’accès à distance. Une campagne active au moins d’avril à octobre 2025 a utilisé cette méthode pour prendre le contrôle de comptes extranet sur Booking.com, Expedia et Airbnb. Les attaquants écrivaient ensuite à de vrais voyageurs depuis la plateforme officielle pour leur demander de confirmer à nouveau leur carte afin d’éviter une annulation. Les sessions et mots de passe volés s’échangent ouvertement sur des forums criminels et via des bots Telegram automatisés.

Le préjudice financier touche directement les voyageurs. Au Royaume-Uni seulement, 532 signalements de ce type d’escroquerie ont été enregistrés entre juin 2023 et septembre 2024, pour des pertes d’environ 370 000 livres.

Menace n° 2 : de fausses pages de connexion pour les PMS et la messagerie

Les attaquants sont aussi montés d’un cran dans la chaîne. Mi-2025, des chercheurs ont documenté une vaste campagne qui achetait des annonces sponsorisées sur les moteurs de recherche en se faisant passer pour au moins treize éditeurs de logiciels pour l’hôtellerie et la location saisonnière, dont des plateformes de gestion locative et de messagerie voyageurs. Les gestionnaires qui cherchaient leur page de connexion habituelle cliquaient sur une annonce placée au-dessus du vrai résultat, arrivaient sur un domaine quasi identique et livraient en temps réel leur identifiant, leur mot de passe et les codes à usage unique reçus par SMS.

Comme la fausse page relayait le code au moment même où il était saisi, la double authentification par SMS n’offrait presque aucune protection. Un compte PMS compromis donne à l’attaquant les réservations, les données des voyageurs, les flux de paiement et, souvent, la possibilité de générer les codes d’accès aux logements.

Menace n° 3 : les failles chez les prestataires et dans la chaîne d’approvisionnement

Un gestionnaire peut tout faire correctement et perdre malgré tout des données à cause d’un prestataire. Les incidents passés suivent un schéma constant.

Type d’incident	Ce qui s’est passé	Leçon pour le gestionnaire
Stockage cloud mal configuré chez un channel manager (2020)	Plus de 10 millions d’enregistrements exposés, avec noms, numéros de pièce d’identité, cartes bancaires avec cryptogramme et détails de séjours remontant à 2013	Demandez à vos prestataires comment les données sont stockées, chiffrées et supprimées
Compromission d’un éditeur de logiciels hôteliers (2024)	Environ un demi-million de comptes clients liés à de grandes chaînes exposés	Votre sécurité ne vaut que celle de votre intégration la plus faible
Base de données ouverte sur une plateforme de réservation	Des centaines de milliers de réservations accessibles publiquement	Conserver des données sans finalité est un risque pur
Accès aux données de réservation d’une OTA (2026)	Noms, coordonnées et détails de réservation exposés puis réutilisés dans des arnaques ciblées	Les voyageurs doivent savoir comment vous les contacterez, et comment vous ne le ferez jamais

Menace n° 4 : plus de données collectées, conservées plus longtemps

La réglementation augmente le volume de données sensibles que les opérateurs doivent traiter, et chaque champ supplémentaire est une information de plus susceptible de fuiter.

Juridiction	Obligation	Conséquence pour la sécurité
Espagne	Depuis le 2 décembre 2024, tous les hébergements touristiques doivent transmettre les données des voyageurs à la plateforme SES.HOSPEDAJES du ministère de l’Intérieur, en application du décret royal 933/2021	Plus de 15 données par voyageur, dont les numéros de document et de support, ainsi que des données de paiement comme le type et le numéro de carte ou l’IBAN, conservées trois ans
Italie	Le 21 novembre 2025, le Conseil d’État a rétabli l’obligation d’identifier les voyageurs en personne, annulant une décision du tribunal administratif régional de mai 2025	La vérification à distance par visioconférence en direct reste possible, ce qui pousse vers des outils traitant des images du visage
Union européenne	Le règlement (UE) 2024/1028 s’applique depuis le 20 mai 2026, avec des numéros d’enregistrement et des données d’activité transmises chaque mois par les plateformes aux autorités	Davantage de données structurées circulant entre hôtes, plateformes et systèmes publics
RGPD (toute l’UE)	Les violations doivent être notifiées à l’autorité sous 72 heures, avec des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial	Notifier en retard est déjà une infraction : en 2021, Booking.com a été sanctionnée de 475 000 euros pour avoir signalé une violation trop tard

Le risque concret, c’est la conservation excessive. Les copies de passeports qui restent dans les boîtes e-mail, les conversations WhatsApp ou les dossiers partagés bien après la fin de l’obligation légale figurent parmi les expositions les plus fréquentes, et les plus évitables, du secteur.

Menace n° 5 : serrures connectées, Wi-Fi et couche physique

Des codes de porte qui n’expirent jamais, des comptes administrateur partagés sur les plateformes de serrures et des réseaux non segmentés peuvent transformer un incident de données en problème physique. Si un attaquant contrôle le PMS qui génère les codes d’accès, il contrôle de fait la porte. Un Wi-Fi voyageurs partagé avec les caméras, les serrures ou le routeur du bureau élargit encore la surface d’attaque.

Menace n° 6 : la fraude dopée à l’intelligence artificielle

L’IA générative permet de rédiger des messages de phishing fluides dans n’importe quelle langue, sans les fautes qui les trahissaient autrefois. Les données sur les violations montrent que la part d’e-mails malveillants contenant du texte généré par IA a environ doublé en deux ans. Les mêmes outils peuvent produire de fausses pièces d’identité très crédibles et des vidéos truquées, une inquiétude croissante alors que le check-in à distance et par vidéo se généralise.

Les données d’un gestionnaire sont-elles en sécurité aujourd’hui ?

Couche	Niveau de risque actuel	Principale faiblesse
Comptes extranet des OTA	Élevé	Logiciels de vol d’identifiants sur les postes des équipes
PMS et channel manager	Élevé	Phishing d’identifiants et droits utilisateurs trop larges
Messagerie voyageurs	Élevé	Messages frauduleux envoyés depuis des canaux authentiques et de confiance
Check-in en ligne et vérification d’identité	Moyen à élevé	Images de documents et données biométriques conservées trop longtemps
Serrures connectées et IoT	Moyen	Codes fixes et comptes administrateur partagés
E-mail et postes de bureau	Élevé	Leurres ClickFix et pièces jointes malveillantes

La réponse honnête est que les grandes plateformes sont généralement bien protégées, mais pas l’écosystème qui les entoure. Les maillons faibles sont les personnes, les appareils et les intégrations qui s’y connectent chaque jour.

Le cadre de sécurité qui fonctionne

Mesure	Ce qu’il faut faire	Menace neutralisée
MFA résistante au phishing	Utilisez des passkeys ou des applications d’authentification, pas des codes SMS, sur les OTA, le PMS, la messagerie et la banque	Vol d’identifiants et fausses pages de connexion
Connexion depuis les favoris	Ne vous connectez jamais via une annonce ou un lien reçu par e-mail ; utilisez vos favoris ou l’application officielle	Publicité malveillante et domaines imitant les vrais
Jamais de commande collée	Aucun service légitime ne demande d’exécuter une commande sur son ordinateur ; restreignez PowerShell et les droits administrateur	Logiciels malveillants de type ClickFix
Protection des appareils	Maintenez à jour tous les postes utilisés pour les réservations, avec une protection des terminaux et sans navigation personnelle sur les postes de gestion	Voleurs d’identifiants et accès à distance
Moindre privilège	Un identifiant individuel par utilisateur, limité par logement et par rôle, et suppression des accès le jour même d’un départ	Abus de comptes et propagation interne
Contrôle des prestataires	Demandez une certification ISO 27001 ou un rapport SOC 2, un contrat de sous-traitance conforme au RGPD, la localisation des données, les délais de notification, la prise en charge du SSO et de la MFA et des clés API aux droits limités	Failles dans la chaîne d’approvisionnement
Minimisation des données	Ne collectez que les champs légalement requis, supprimez les copies de pièces d’identité après transmission et purgez les dossiers à la fin de la durée de conservation	Collecte excessive et fuites massives
Hygiène des paiements	Ne stockez jamais de numéro de carte dans les notes du PMS, les e-mails ou les messageries ; utilisez des solutions de paiement tokenisées conformes PCI DSS	Vol de données bancaires
Hygiène des serrures	Des codes uniques par séjour qui expirent au départ, des comptes administrateur individuels et des réseaux séparés pour les voyageurs et les équipements	Accès physiques non autorisés
Information des voyageurs	Précisez dans chaque confirmation que vous ne demanderez jamais de paiement hors des conditions convenues ni via un lien dans la messagerie	Fraude au paiement visant les voyageurs
Plan de réponse aux incidents	Définissez les rôles, les contacts du support des OTA, la réinitialisation des mots de passe, des sauvegardes testées et la procédure de notification sous 72 heures	Ransomware et aggravation des violations
Formation continue	De courts exercices mensuels avec de vrais exemples de leurres actuels	Le facteur humain à l’origine de la plupart des violations

Ce que les gestionnaires doivent retenir

Priorité	Action concrète
Traiter les accès comme la porte d’entrée	Une MFA résistante au phishing sur chaque compte OTA, PMS et e-mail est la mesure au plus fort impact
Auditer ses prestataires	Cartographier chaque intégration qui touche aux données des voyageurs et exiger la preuve de ses contrôles de sécurité
Conserver moins de données	Supprimer les pièces d’identité et les données de paiement dès que les obligations légales le permettent
Se préparer au jour où cela arrivera	Un plan de réponse écrit transforme une crise en procédure et permet de respecter les délais du RGPD