De faux messages citent de vraies réservations d’hôtel après une fuite chez RMS

Imaginez recevoir un message WhatsApp de l’hôtel que vous avez réservé pour le mois prochain. Il contient votre nom complet, vos vraies dates et votre type de chambre, et il dit que votre carte a été refusée et que la réservation sera annulée si vous ne confirmez pas vos données de paiement. C’est ce qui arrive à des voyageurs après une fuite chez RMS, une entreprise australienne dont le logiciel de réservation fait tourner plus de 6 000 hôtels, parcs de vacances et appartements avec services dans le monde. Ces messages ne viennent ni de l’hôtel ni de RMS. Voici ce qui s’est passé et comment faire la différence.

Ce qui s’est passé

Selon la page d’incident (en anglais) de RMS :

• 26 octobre : RMS a repéré un accès non autorisé à une partie limitée de son environnement.
• 27 octobre : elle a commencé à enquêter sur des signalements de clients qui recevaient des messages WhatsApp, des textos et des courriels citant de vraies informations de réservation et demandant de confirmer des données de paiement ou de faire un paiement. Elle a remis de nouveaux identifiants à ses partenaires d’intégration par précaution.
• 28 et 29 octobre : elle a dit qu’une partie des informations de réservation des clients était en cause, dont leurs coordonnées et les détails des réservations, mais pas les données de carte ou de paiement.
• 30 octobre : elle a avisé l’Australian Cyber Security Centre, l’Office of the Australian Information Commissioner et le National Office of Cyber Security.
• 2 novembre : elle a dit que des enquêteurs judiciaires indépendants avaient confirmé que l’activité non autorisée était maîtrisée. Elle continue de renouveler les identifiants utilisés par les intégrations, ce qui a interrompu certains services connectés, et évalue ses obligations d’avis « dans les territoires concernés ».

La page d’incident indique que des services de RMS en Australie, en Amérique du Nord, en Europe et en Chine sont touchés. Ce n’est donc pas seulement une histoire australienne, même si la plupart des signalements viennent pour l’instant d’Australie.

Ce qui a été pris, et ce qui ne l’a pas été

L’article d’aide (en anglais) de RMS énumère ce qui a été consulté : noms des clients, coordonnées des clients et détails des réservations. Elle dit que les données de carte de crédit et de paiement n’ont pas été consultées. RMS n’a pas dit combien de clients sont touchés.

Les messages frauduleux montrent à quel point ces détails de réservation sont précieux pour un fraudeur. Selon RMS, ils :

• citent de vrais détails de réservation, comme le nom du client, les dates du séjour ou le numéro de confirmation
• demandent au client de confirmer ses données de carte ou de faire un paiement
• avertissent que la réservation sera annulée si le client n’agit pas vite
• mènent à un site web qui n’est exploité ni par RMS ni par l’établissement

RMS a aussi reçu des signalements d’appels automatisés au sujet de réservations.

Qui est touché

ABC News a rapporté (en anglais) que des clients du Wrest Point de Federal Group, à Hobart, ont reçu un courriel convaincant avec leur vrai numéro de réservation, leur type de chambre et leurs dates, prétendant que leur carte avait été bloquée. ABC a nommé d’autres exploitants touchés, dont ALH Hotels (Nightcap et Nightelier), Discovery Parks et, selon ses informations, BIG4, Reflections et G’day Parks.

En Australie-Occidentale, ABC a parlé (en anglais) à un voyageur qui a reçu un message WhatsApp au sujet de son prochain séjour au Cable Beach Club de Broome, avec son nom complet et les bonnes dates. Il a raconté qu’il travaille en technologie et se croit assez averti, mais que les détails authentiques lui ont fait croire que le message pouvait être vrai. Il a commencé à entrer ses données de carte avant que la page expire, puis a remarqué que le message venait d’un numéro étranger et que le code de réservation ne correspondait pas. Kimberley Accommodation Group, qui utilise aussi RMS, a dit que ses clients ont reçu des messages semblables.

Pourquoi c’est important

Une confirmation de réservation, c’est à peu près l’arnaque la plus crédible qui soit. Elle arrive au moment où vous attendez des nouvelles de l’hôtel, elle contient des détails que seul l’hôtel devrait connaître, et des vacances annulées, ça fait peur. Comme la fuite s’est produite chez un fournisseur, l’hôtel lui-même n’a rien fait de mal, ce qui peut rendre le message encore plus crédible. On a vu le même schéma dans notre article sur la fuite chez Amadeus, où un système de voyage partagé a mis à risque les clients de nombreuses marques à la fois.

Ce que vous pouvez faire

1. Méfiez-vous de tout message qui demande un paiement pour une réservation, même si tous les détails sont exacts. De vrais détails de réservation ne prouvent plus qu’un message est authentique.
2. Contactez l’établissement vous-même avec le numéro ou le courriel de son site officiel ou de votre confirmation d’origine, et non ce qui figure dans le message. Le modèle de RMS pour les hôtels dit aux clients que leur réservation n’a pas changé et qu’ils n’ont rien à faire.
3. Ne payez pas et n’entrez pas vos données de carte par WhatsApp ou par un lien reçu par texto. RMS dit qu’elle ne demandera jamais de données de carte ni de paiement par WhatsApp.
4. Raccrochez si on vous appelle à l’improviste au sujet de votre réservation, puis rappelez l’établissement à un numéro que vous avez trouvé vous-même.
5. Si vous avez entré vos données de carte, appelez votre banque tout de suite. Si vous avez cliqué sur un lien, RMS conseille de lancer une analyse antivirus et de changer vos mots de passe.
6. Apprenez à reconnaître les tactiques. Voyez comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque site de réservation sa propre adresse, pour savoir d’où un fraudeur a obtenu votre adresse et la désactiver. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Fuite chez Amadeus : réservations aériennes consultées, dont celles de JAL, Korean Air et Asiana : une autre fuite chez un fournisseur de voyage qui a touché les clients de nombreuses marques à la fois.
• Comment les fraudeurs utilisent les données divulguées pour personnaliser l’hameçonnage, et comment le repérer : pourquoi un message qui contient vos vrais renseignements n’est pas une preuve d’authenticité.

Sources

• RMS, Phishing messages referencing RMS booking details (en anglais, page d’incident), mise à jour le 2 novembre 2026
• RMS, Security Incident Alert: WhatsApp Phishing Scam (en anglais), 28 octobre 2026
• ABC News, Scammers target Kimberley travellers after international hotel booking data breach (en anglais), 3 novembre 2026
• ABC News, RMS hack sees ‘convincing’ phishing scam emails using real hotel booking numbers sent to customers (en anglais), 29 octobre 2026