GreenGo informe ses clients d’un incident de sécurité ayant permis à un acteur non autorisé d’accéder à un outil interne utilisé par l’entreprise. Dans un mail envoyé à ses clients et diffusé sur FuitesInfos, la plateforme explique que l’attaque repose sur une faille affectant Metabase, un logiciel d’analyse de données déjà impliqué dans une vaste campagne de compromissions en août 2026.
L’accès aurait été possible entre le 9 août et le 7 septembre 2026. Selon GreenGo, les informations potentiellement consultées comprennent notamment les noms, prénoms, dates de naissance, adresses e-mail, numéros de téléphone, mais aussi des informations liées aux réservations, aux séjours et à l’activité des utilisateurs sur la plateforme.
GreenGo, une plateforme française de réservation d’hébergements
GreenGo est une plateforme française spécialisée dans la réservation d’hébergements, avec un positionnement axé sur le tourisme responsable. Elle met en relation des voyageurs avec des hébergeurs et centralise différents éléments liés aux comptes, réservations et échanges effectués sur son service.
La compromission ne concerne pas directement les systèmes bancaires de l’entreprise. Elle touche un outil interne d’analyse de données reposant sur Metabase.
Une faille Metabase exploitée pendant près d’un mois
GreenGo indique qu’un acteur non autorisé a profité d’une vulnérabilité de sécurité dans Metabase entre le 9 août et le 7 septembre 2026.
L’entreprise précise que cette faille avait fait l’objet d’un correctif logiciel, mais qu’elle n’en aurait eu connaissance que le 7 septembre 2026. GreenGo relie également cet incident à une campagne d’attaques observée à partir du mois d’août contre plusieurs milliers d’organisations dans le monde.
Plusieurs entreprises et administrations françaises et étrangères ont effectivement été touchées durant la même période par des compromissions reposant sur Metabase.
L’accès découvert le 7 septembre à 19 h 20
GreenGo affirme avoir découvert l’accès non autorisé le 7 septembre à 19 h 20. Les premières mesures de sécurité auraient été prises quelques minutes plus tard et l’accès de l’attaquant aurait été coupé dans la soirée.
L’entreprise indique avoir ensuite supprimé les comptes et clés d’accès non reconnus, révoqué les sessions actives et procédé à une réinitialisation des mots de passe.
Identités, coordonnées et informations de réservation concernées
Selon la notification adressée aux utilisateurs, plusieurs catégories de données enregistrées sur GreenGo ont pu être consultées par l’attaquant :
- prénom et nom ;
- date de naissance ;
- adresse e-mail ;
- numéro de téléphone ;
- informations liées aux réservations et aux séjours réalisés via GreenGo ;
- avis et favoris enregistrés sur la plateforme ;
- messages échangés via la messagerie GreenGo ;
- informations liées au système de parrainage.
Cette combinaison de données peut permettre à un attaquant de connaître non seulement l’identité et les coordonnées d’un utilisateur, mais également certains éléments liés à ses voyages, réservations et échanges avec les hébergeurs.
Les cartes cadeaux également concernées
GreenGo précise que les informations associées aux cartes cadeaux ont également pu être consultées pour les utilisateurs concernés. Cela peut inclure le message associé, le montant, le bénéficiaire ou encore le code de la carte cadeau.
Pour les cartes encore valides et non utilisées, GreenGo prévoit l’envoi d’un nouveau code sécurisé. Les anciens codes seront renouvelés afin d’éviter leur utilisation après l’incident.
Aucune donnée bancaire exposée selon GreenGo
L’entreprise insiste également sur les informations qui ne seraient pas concernées par la compromission. Aucun numéro de carte bancaire, date d’expiration ou cryptogramme visuel ne serait stocké dans les systèmes touchés.
GreenGo indique que les paiements sont traités par son prestataire Stripe et que les moyens de paiement ne sont donc pas exposés dans cet incident.
Les mots de passe n’étaient pas stockés en clair
Les mots de passe des utilisateurs ne figureraient pas non plus en clair dans les données accessibles. GreenGo explique qu’ils sont stockés sous forme d’empreintes utilisant Argon2, un mécanisme conçu pour rendre beaucoup plus difficile la récupération du mot de passe original.
Par précaution, l’entreprise recommande néanmoins aux utilisateurs de modifier leur mot de passe GreenGo, notamment lorsqu’un même mot de passe est réutilisé sur d’autres services.
Un accès limité à la consultation des données
Autre élément important : selon GreenGo, l’accès obtenu par l’attaquant était limité à la lecture. L’entreprise affirme n’avoir identifié aucune modification ou suppression des informations enregistrées.
L’incident correspond donc, à ce stade, à une consultation potentielle de données plutôt qu’à une altération du contenu des comptes.
Des tentatives de phishing particulièrement crédibles
Le principal risque identifié concerne désormais le phishing ciblé. Les informations accessibles peuvent permettre à un cybercriminel de construire des messages contenant des éléments réels sur un utilisateur afin de gagner sa confiance.
Un attaquant connaissant le nom d’une personne, son numéro de téléphone, une réservation ou certains éléments d’un séjour pourrait par exemple tenter de se faire passer pour GreenGo, un hébergeur, un voyageur, un prestataire de paiement ou une banque.
La présence potentielle de véritables informations liées aux réservations peut rendre ces messages beaucoup plus convaincants qu’une campagne de phishing envoyée au hasard.
GreenGo renforce ses protections après l’incident
Les 7 et 8 septembre, GreenGo indique avoir appliqué plusieurs mesures : mise à jour de sécurité, blocage du point d’accès vulnérable, suppression des comptes ou clés inconnus, révocation des sessions actives et réinitialisation des mots de passe.
L’entreprise prévoit également de renforcer la sécurité de l’outil concerné et son système d’authentification afin d’empêcher la réutilisation du même vecteur d’attaque.
Tous les codes des cartes cadeaux concernées doivent également être renouvelés.
La CNIL notifiée et une plainte déposée
GreenGo indique avoir notifié l’incident à la CNIL conformément aux obligations prévues par l’article 33 du RGPD.
Une plainte pénale a également été déposée auprès du procureur de la République. L’entreprise affirme poursuivre ses investigations afin de déterminer précisément le périmètre de l’accès et de renforcer ses dispositifs de sécurité.
L’incident GreenGo vient surtout illustrer une nouvelle fois l’effet domino de la faille Metabase : une vulnérabilité touchant un outil utilisé comme composant interne peut finalement exposer les données détenues par de nombreuses entreprises sans que leurs propres applications publiques soient directement compromises.