Deux logiciels utilisés dans l’hôtellerie française, le moteur de réservation D-EDGE et le logiciel de gestion hôtelière Misterbooking, édité par Septeo Hospitality, ont tous deux subi un incident de sécurité à la mi-octobre 2026. Des données de réservation de clients d’hôtels ont été exposées. L’alerte est venue d’un mail envoyé le 29 octobre 2026 par un hôtel situé près de Paris à ses clients.
Dans ce message, l’établissement évoque deux incidents de sécurité « distincts et indépendants l’un de l’autre », ayant touché deux de ses prestataires techniques. Certaines données personnelles liées aux réservations faites dans l’hôtel sont concernées. Les deux entreprises occupent une place importante dans la chaîne technique de l’hôtellerie, ce qui laisse penser que d’autres établissements pourraient être concernés.
Ce que l’on sait de l’incident chez D-EDGE
D’après le mail de l’hôtel, une faille liée à un défaut de configuration chez D-EDGE a permis à des tiers malveillants d’accéder à des données de réservation les 20 et 21 octobre 2026. L’entreprise n’a informé l’établissement que le 23 octobre. Les informations exposées comprennent les noms et prénoms des clients, les dates et la référence de leur réservation, le nombre de personnes, le montant du séjour et le nom de l’hôtel. Pour certaines réservations, l’adresse e-mail et le numéro de téléphone sont également concernés.
Le nombre d’établissements touchés n’a pas été communiqué. D-EDGE se présente comme un éditeur de solutions cloud de commerce en ligne, utilisées par plus de 17 000 hôtels dans plus de 150 pays.
Misterbooking, une intrusion sur un serveur
Dans le cas de Misterbooking, il s’agit d’une intrusion. Septeo Hospitality a détecté le 19 octobre qu’un tiers malveillant avait obtenu un accès illégitime à l’un des serveurs du logiciel. Selon l’hôtel, « l’attaquant a pu extraire une partie des données » avant que l’accès ne soit coupé, dans la matinée du même jour.
Dans une note publiée le 23 octobre à destination de ses adhérents, le GHR, organisation professionnelle de l’hôtellerie-restauration, évoque l’extraction d’une « partie significative » des données enregistrées. Les données concernées sont plus sensibles que dans le cas de D-EDGE : elles incluent l’identité et les coordonnées des clients et de leurs accompagnants, ainsi que les informations de réservation et les documents joints aux dossiers clients.
L’ampleur reste inconnue, l’hôtel indiquant lui-même ne pas connaître la nature exacte ni le volume des données le concernant. Misterbooking est utilisé par 1 800 établissements. Son rachat a porté Septeo Hospitality à 4 000 hôtels équipés en France, en Espagne et dans d’autres pays européens.
Des messages d’arnaque à surveiller
Aucune donnée complète de carte bancaire ne serait concernée par ces deux incidents. Ces fuites laissent toutefois présager des arnaques très crédibles. Un scénario comparable s’est déjà produit après le piratage de Medialog, un autre éditeur français de logiciels hôteliers : des clients d’hôtels ont été ciblés sur WhatsApp et par mail avec leurs véritables informations de réservation, notamment leur nom, l’établissement et les dates de séjour.
Un message qui cite votre numéro de réservation, vos dates et le montant de votre séjour n’est donc plus une preuve d’authenticité. S’il vous demande de confirmer votre carte bancaire, de régler un acompte ou de cliquer sur un lien pour éviter une annulation, ne répondez pas. Appelez l’hôtel au numéro affiché sur son site officiel ou sur votre confirmation d’origine.
Au moment de la publication de cet article, ni D-EDGE ni Septeo n’avaient répondu à nos sollicitations.
Product offers are temporarily unavailable.
