De fausses pages de paiement d’hôtel affichent maintenant votre vrai nom, vos dates et le prix

Vous avez réservé un hôtel. Un message vous dit maintenant que votre réservation exige une vérification rapide de votre carte, et la page vers laquelle il mène affiche votre nom, votre courriel, votre numéro de téléphone, l’hôtel, vos dates et le prix. Elle ressemble exactement à votre réservation. Ce peut quand même être une arnaque.

L’entreprise de sécurité Internet Netcraft (en anglais) a décrit une trousse d’hameçonnage conçue pour cela, et le 10 novembre, le ministère de l’Intérieur de Singapour a donné de nouveaux chiffres (en anglais) sur les arnaques qui utilisent les vraies réservations des clients.

Ce que Netcraft a trouvé

Dans un rapport publié le 6 novembre, Netcraft dit qu’une même trousse d’hameçonnage sert sur de nombreux sites qui se font passer pour Booking.com et d’autres services de réservation d’hôtel. Son empreinte est apparue dans environ 1 000 analyses. Booking.com et les hôtels affichés n’y sont pour rien ; leurs noms sont empruntés.

Ce qui la rend convaincante :

• De vraies réservations. Les pages arrivaient déjà remplies avec le nom, l’adresse courriel et le numéro de téléphone du client, l’hôtel, les dates du séjour et le prix, pour ressembler à une réservation existante qu’il suffit de confirmer.
• Deux apparences, un seul moteur. Une version copie le design bleu et les étapes de paiement de Booking.com. Une autre utilise une marque générique, « Best Hotel Reservation », et met l’hôtel en avant. Les deux utilisent le même code.
• Vérification de carte en temps réel. La page refuse les numéros de carte manifestement faux avant de vous laisser continuer, ce qui laisse penser que les fraudeurs veulent des cartes qui fonctionnent.
• Ça continue après le paiement. Une fois la carte saisie, la page peut afficher d’autres étapes de « vérification » envoyées en direct par les fraudeurs, ainsi qu’un faux clavardage de soutien. Netcraft dit qu’une partie du code pourrait servir à imiter les vérifications supplémentaires des banques, sans pouvoir confirmer qu’il relaie de vraies demandes.
• Plusieurs langues. La plupart des pages présentaient des hôtels au Japon, avec des prix en yens, et quelques établissements européens en euros. La trousse peut passer à plus d’une douzaine de langues, dont l’anglais et le français.

Ce que dit Singapour

En réponse à une question au Parlement, le ministre de l’Intérieur K Shanmugam a dit que les victimes reçoivent généralement des messages contenant des liens d’hameçonnage qui se font passer pour des hôtels ou des plateformes de réservation, et qui leur demandent de vérifier leur carte ou de confirmer un séjour à venir. Elles ne s’en rendent compte, le plus souvent, qu’en voyant des frais non autorisés ou en vérifiant auprès de l’hôtel. Depuis janvier 2026, la police de Singapour a recensé au moins 148 cas d’hameçonnage liés à des hôtels et des plateformes de réservation, pour des pertes d’au moins 185 000 dollars de Singapour. Le ministre a dit que la police ne suit pas la façon dont les fraudeurs obtiennent les vraies réservations.

Comment les fraudeurs connaissent-ils votre réservation ? Netcraft ne le dit pas pour cette trousse. Dans d’autres cas, les données venaient de fuites chez des fournisseurs de logiciels hôteliers, comme la fuite chez RMS que nous avons couverte ce mois-ci, après laquelle des clients ont reçu des messages frauduleux citant leurs vraies réservations.

Comment la repérer

1. De vrais détails ne prouvent pas qu’un message est vrai. Considérez comme suspecte toute demande de « vérifier » ou de « ressaisir » une carte pour une réservation déjà faite, même si elle semble exacte.
2. Vérifiez dans l’application ou le site officiel. Ouvrez l’application Booking.com, ou le site de l’hôtel, en tapant l’adresse vous-même. S’il y a un vrai problème de paiement, il y apparaîtra.
3. Regardez la barre d’adresse. Netcraft dit que les pages frauduleuses sont sur des domaines sans rapport, souvent enregistrés récemment, pas sur booking.com.
4. Appelez l’hôtel au numéro de son site officiel, pas à celui du message.
5. Ne communiquez pas de codes à usage unique et n’approuvez pas de demandes de votre banque que vous n’avez pas lancées. Une vraie réservation ne vous demande pas d’approuver un paiement par un lien.
6. Si vous avez saisi votre carte, appelez tout de suite votre émetteur de carte pour la bloquer et contester les frais. Si vous avez saisi le mot de passe d’un compte de réservation, changez-le sur le vrai site et activez la vérification en deux étapes. Au Canada, signalez-le au Centre antifraude du Canada.

Comment Frame peut aider

Les arnaques de ce genre partent souvent de détails tirés de fuites de données. Frame peut chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour que vous sachiez quels renseignements circulent déjà, et les listes de vérification de Frame expliquent ce que chaque fuite a exposé. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• De faux messages citent de vraies réservations d’hôtel après une fuite chez RMS : comment des données de réservation volées sont devenues des messages frauduleux envoyés aux clients.
• L’application Android de Wyndham contenait un mot de passe qui ouvrait une base de données clients : une autre façon dont des données de clients d’hôtels peuvent se retrouver exposées.
• Les faux textos de livraison de colis montent avec l’expédition des Fêtes : comment les repérer : une autre arnaque saisonnière qui s’appuie sur une histoire crédible pour obtenir votre carte.
• Frontier Airlines prévient ses clients au sujet de faux courriels de remboursement et de paiement : une arnaque de voyage voisine, qui vise un billet d’avion plutôt qu’un séjour à l’hôtel.

Sources

• Netcraft, Hospitality Phishing Cluster uses Personalized Hotel Reservations and Interactive Card Verification (en anglais), 6 novembre 2026
• Ministère de l’Intérieur de Singapour, Addressing hotel booking phishing cases involving genuine booking details and obligations of hotels and booking platforms to notify affected customers (en anglais), 10 novembre 2026