Oceania Hotels informe ses clients d’une fuite de données survenue chez le prestataire chargé d’héberger son moteur de réservation en ligne. Un tiers non autorisé a pu consulter des informations liées à des séjours réservés dans les établissements du groupe.
L’incident concerne des réservations correspondant à des séjours prévus entre août 2026 et juillet 2027. Oceania Hotels précise que son propre système d’information n’a pas été compromis et que la faille identifiée chez le prestataire a depuis été corrigée.
Noms téléphones et détails précis des séjours exposés
Dans une notification adressée aux clients dont Cyberattaque.org a pris connaissance, Oceania Hotels indique que les informations consultées comprennent :
- nom et prénom ;
- adresse e-mail et numéro de téléphone ;
- numéro de réservation ;
- identifiant de l’établissement concerné ;
- dates du séjour ;
- tarifs et conditions tarifaires associés à la réservation.
Les données bancaires ne sont pas annoncées parmi les informations concernées par l’incident.
Amadeus TravelClick semble être le prestataire concerné
Oceania Hotels ne donne pas le nom du fournisseur compromis dans sa notification. Plusieurs éléments publics permettent toutefois d’identifier avec une forte probabilité Amadeus TravelClick.
Dans ses conditions générales de vente, Oceania Hotels indique explicitement faire appel à TravelClick pour gérer son processus de réservation en ligne. Une présentation publiée par Adyen sur l’environnement technologique du groupe mentionne également Amadeus – TravelClick pour la distribution et la réservation des chambres.
Ces éléments correspondent directement au rôle du prestataire décrit dans la notification. Oceania Hotels ne l’ayant toutefois pas nommé dans sa communication sur l’incident, il reste prudent de ne pas lui attribuer formellement la cyberattaque sans confirmation supplémentaire.
Des données idéales pour de faux messages WhatsApp et SMS
La connaissance du nom du client, de ses dates de séjour, du montant de sa réservation et de son numéro de réservation permet de construire des messages frauduleux particulièrement convaincants.
Oceania Hotels alerte précisément sur des prises de contact pouvant être réalisées par WhatsApp, SMS ou e-mail. Un escroc peut se faire passer pour l’hôtel et reprendre de véritables informations sur le séjour afin de gagner la confiance de la victime.
« Confirmez votre réservation sous peine d’annulation »
Les scénarios évoqués consistent notamment à demander au client de « confirmer », « garantir » ou « régler » sa réservation en cliquant sur un lien, parfois sous la menace d’une annulation.
Le faux formulaire peut ensuite chercher à récupérer des coordonnées bancaires ou un code de validation reçu par SMS. Le niveau de détail contenu dans les données compromises rend ce type de tentative beaucoup plus difficile à identifier qu’un phishing classique.
La CNIL notifiée et une plainte déposée
Oceania Hotels indique avoir procédé à une notification auprès de la CNIL à la suite de l’incident. Une plainte a également été déposée auprès des autorités compétentes.
La vulnérabilité utilisée pour accéder aux réservations aurait été corrigée immédiatement par le prestataire. Aucun élément communiqué ne laisse à ce stade penser que les systèmes internes d’Oceania Hotels ont été directement compromis.
Les prochains séjours particulièrement à risque
Le fait que la fuite concerne des réservations allant jusqu’en juillet 2027 rend le risque durable. Des clients peuvent être ciblés plusieurs semaines ou plusieurs mois après l’incident, à proximité de leur véritable date d’arrivée, moment où une demande de paiement ou de confirmation paraît particulièrement crédible.
Toute demande inhabituelle faisant référence à une réservation Oceania Hotels doit donc être vérifiée directement auprès de l’établissement, en particulier lorsqu’elle réclame un paiement, des coordonnées bancaires ou un code reçu par SMS.