Le message arrive plusieurs semaines après le retour. Il mentionne le bon hôtel, les bonnes dates, le bon numéro de réservation, parfois même une vraie conversation échangée avec l’établissement avant le séjour sur la plateforme de réservation. Il vient avec une bonne nouvelle : la taxe de séjour aurait été prélevée deux fois, l’hôtel souhaite logiquement vous rembourser la différence. Vous n’avez plus qu’à renseigner vos coordonnées bancaires via un lien. Vous sentez venir l’arnaque ?
Une fuite survenue en avril chez Booking.com
L’affaire remonte au printemps. Le 13 avril 2026, Booking.com a confirmé qu’un ou plusieurs tiers non autorisés avaient pu accéder à des informations de réservation de ses clients. À l’époque, la plateforme néerlandaise évoquait une activité suspecte détectée sur un certain nombre de réservations, sans jamais préciser le nombre de personnes concernées, ni les dégâts constatés.
On sait depuis quelques mois déjà, que le butin est gros : les escrocs auraient eu accès aux noms, prénoms et contacts des clients de la plateforme, mais aussi aux détails de leurs réservations : date de séjour, facture, conversations avec l’hébergement… Seules les données bancaires ne figurent pas au tableau de chasse, et c’est bien là le problème. Les pirates ont accès à toutes vos informations, sauf celles qui les intéressent vraiment. Il était donc nécessaire d’exploiter ces dites informations, pour tenter de vous soutirer celles qui manquent.
Attention aux arnaques !
L’arnaque classique joue sur l’urgence avant le départ, quand les pirates vous annoncent une réservation menacée d’annulation ou une empreinte bancaire à confirmer. Celle-ci est particulièrement bien rodée, puisqu’elle fait l’inverse. Elle arrive en pleine rentrée des classes, une fois le séjour terminé. En plus de présenter une orthographe et des détails irréprochables, la promesse d’un remboursement, aussi minime soit-il, suffit bien souvent à convaincre les internautes de cliquer. C’est là que le piège se referme. Qu’il s’agisse de Booking ou de n’importe quelle autre plateforme avec laquelle vous auriez déjà fait des affaires, gardez à l’esprit qu’un remboursement n’a jamais besoin de votre numéro de carte bancaire, puisque l’établissement dispose déjà du moyen de paiement utilisé.
Les vacances, terrain de jeu préféré des pirates
Le voyage est devenu le terrain de chasse favori de ce type de campagnes, et Booking en est l’épicentre, avec plus de 30 millions d’hébergements référencés et des millions de clients à travers le monde. En pratique, soyez vigilants lorsque vous recevez un mail non sollicité de la part d’une plateforme, surtout s’il vous promet un remboursement. Dans un mail adressé à ses clients, Booking rappelle que l’entreprise ne demande jamais de coordonnées bancaires par e-mail, téléphone, WhatsApp ou SMS, ni de virement sur un autre canal que celui figurant dans la confirmation. En cas de doute, le réflexe est de ne pas cliquer, d’ouvrir l’application ou le site en tapant l’adresse soi-même, et de contacter l’établissement. Un signalement sur Signal Spam ou via la plateforme Cybermalveillance peut aussi aider au démantèlement rapide de l’arnaque.