Une fuite chez Bookeasy touche les réservations de parcs au Queensland, Victoria et Australie-Méridionale

Les personnes qui ont réservé un camping ou un accès en véhicule dans des parcs nationaux du Queensland, du Victoria ou d’Australie-Méridionale ont pu voir leurs renseignements atteints après une fuite chez Bookeasy, le système tiers que ces États utilisent pour les réservations. Le ministère de l’Environnement du Queensland, Parks Victoria (en anglais) et le service des parcs d’Australie-Méridionale ont tous confirmé l’incident. Voici ce qu’ils ont dit jusqu’ici, et comment distinguer un vrai message d’un faux.

Ce qui s’est passé

ABC News (en anglais) a rapporté le 12 novembre 2026 (déjà le 11 novembre dans une bonne partie de l’Amérique du Nord) que le ministère de l’Environnement, du Tourisme, des Sciences et de l’Innovation du Queensland avait appris que Bookeasy avait été piraté. Bookeasy traite les permis de camping et d’accès en véhicule pour le système de réservation des parcs nationaux, et y conserve des courriels, des adresses et des numéros de téléphone.

Une porte-parole du ministère a dit à ABC que, pour l’instant, le ministère ne croyait pas que les renseignements financiers des clients aient été consultés, parce que les paiements passent par un autre système. Le ministère a dit qu’il donnerait plus d’information aux clients touchés à mesure qu’il en saura davantage, et a demandé aux usagers des parcs de se méfier des tentatives d’hameçonnage par des personnes qui se font passer pour le personnel des parcs.

« Si vous recevez un courriel, un texto ou un appel inattendu prétendant venir du ministère et vous demandant de confirmer ou de fournir des renseignements personnels, n’y répondez pas, ne cliquez sur aucun lien et ne fournissez aucun renseignement personnel », a dit la porte-parole. Toute activité suspecte devrait être signalée au Queensland Parks and Wildlife Service, à QPWS@detsi.qld.gov.au.

Le Victoria et l’Australie-Méridionale

Le même fournisseur de réservations est utilisé dans d’autres États, qui ont publié leurs propres avis.

Parks Victoria a indiqué (en anglais) le 11 novembre qu’elle était au courant d’un problème de données plus large touchant Bookeasy, et de signalements de messages WhatsApp suspects envoyés à certains clients au sujet de leurs réservations Parks Victoria. Par précaution, elle a temporairement suspendu toutes les nouvelles réservations de camping le temps d’enquêter. Les réservations existantes n’ont pas été annulées et restent valides, mais les modifications sont temporairement impossibles.

Parks Victoria est claire sur un point : elle ne communique pas avec ses clients par WhatsApp. Si vous recevez un message WhatsApp inattendu au sujet d’une réservation Parks Victoria, elle dit de ne cliquer sur aucun lien, de ne pas fournir de paiement ni d’autres renseignements personnels, et de ne pas payer en réponse.

Le National Parks and Wildlife Service d’Australie-Méridionale, dans un courriel cité par ABC News (en anglais), a dit aux usagers que Bookeasy avait récemment détecté une activité non autorisée sur sa plateforme et avait fait appel à des experts en cybersécurité. « Dans le cadre de cette enquête, il a été établi que certains renseignements de clients, y compris des noms, des coordonnées et des données de réservation, ont pu être consultés », indiquait le courriel. « À ce stade, rien n’indique que des données de cartes de crédit ont été consultées. »

Aucun des trois organismes n’a, dans ces avis, dit combien de personnes étaient touchées, quand l’accès avait commencé, ni si les données avaient été copiées.

Ce que vous pouvez faire

1. Attendez un message du service des parcs auprès duquel vous avez réservé, pas d’un compte WhatsApp inconnu ou d’un lien de paiement inattendu. Parks Victoria dit qu’elle n’utilise pas WhatsApp pour joindre ses clients.
2. Ne confirmez pas de renseignements personnels ou de paiement en réponse à un courriel, un texto, un appel ou un clavardage inattendu qui prétend venir d’un ministère des parcs.
3. Vérifiez une réservation existante sur le site officiel de réservation que vous avez utilisé, en tapant l’adresse vous-même. Au Victoria, les nouvelles réservations et les modifications sont suspendues pour l’instant ; les réservations existantes tiennent toujours.
4. Si vous avez déjà saisi des renseignements ou payé après un message suspect, contactez votre banque ou l’émetteur de votre carte et signalez-le au service des parcs de l’État où vous avez réservé. Au Queensland, le ministère a donné l’adresse QPWS@detsi.qld.gov.au pour les activités suspectes.
5. Apprenez à reconnaître les tactiques. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage.

Comment Frame peut aider

Si cette fuite est ajoutée à un catalogue, ajoutez-la à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à un service de réservation sa propre adresse, pour qu’un faux message de parc arrivé à la mauvaise se démarque. Frame ne recueille ni ne conserve jamais les enregistrements divulgués eux-mêmes.

À lire aussi

• De fausses pages de paiement d’hôtel affichent maintenant votre vrai nom, vos dates et le prix : une autre arnaque de réservation de voyage qui utilise de vrais détails.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : pourquoi un message qui connaît votre réservation peut quand même être faux.

Sources

• ABC News, Personal user data breached after Qld, Victoria and SA's National Park booking systems hacked (en anglais), 12 novembre 2026
• Parks Victoria, Suspicious WhatsApp messages linked to booking system issue (en anglais), 11 novembre 2026