Des données personnelles et des informations de certains séjours ont alors été extraites. Plusieurs clients ont ensuite reçu sur WhatsApp de faux messages, envoyés depuis des numéros inconnus, qui reprenaient leurs vraies données pour demander une confirmation ou un paiement.
Le message qui connaît votre hôtel
Le scénario est particulièrement crédible parce qu’il ne repose pas sur une invitation vague. Selon l’agence, certains fraudeurs se présentent comme l’hôtel et indiquent le nom de l’établissement, les dates du séjour et la référence de réservation. Ils proposent ensuite de cliquer sur un lien externe pour éviter une annulation ou procéder à une vérification.
C’est précisément là que se joue la manœuvre. L’objectif annoncé est de récupérer des coordonnées bancaires ou de pousser le voyageur à effectuer un paiement frauduleux. Transcontinents précise toutefois qu’aucune donnée bancaire n’a été compromise, son outil de réservation ne conservant pas ce type d’informations. Le nombre de clients concernés et le volume exact des données extraites n’ont pas été communiqués.
Transcontinents commercialise aussi des séjours vers Maurice, Rodrigues et Madagascar, ainsi que des billets d’avion et des réservations hôtelières. L’incident dépasse donc le seul cadre de l’île et rappelle qu’une information de réservation exacte ne prouve jamais, à elle seule, que l’expéditeur est légitime.
Deux incidents, les mêmes dates
Le rapprochement le plus troublant concerne D-EDGE. Cyberattaque.org indique que cette entreprise spécialisée dans les technologies de réservation hôtelière avait elle aussi subi un incident de sécurité permettant à des tiers non autorisés d’accéder à des informations de voyageurs. L’accès frauduleux aurait eu lieu exactement les 20 et 21 octobre 2026.
Selon la même source, les solutions de D-EDGE sont utilisées par plus de 17 000 hôtels dans 150 pays. Cette exposition potentielle donne une autre dimension à l’alerte, même si les éléments disponibles ne permettent pas d’établir une attaque commune, une même.operator or une relation directe entre les deux incidents.
Dans son titre, FrenchBreaches présente ces affaires comme une « vague de cyberattaques » touchant hôtels, gîtes et voyages avant Noël. Pour le voyageur, l’enjeu devient concret: savoir distinguer une réservation authentique d’une sollicitation qui recycle des données réellement dérobées.
Vérifier par le canal connu
Face à un message qui connaît parfaitement le séjour, la prudence doit primer sur la familiarité des informations.
- Ne cliquez pas sur le lien externe d’un SMS ou d’un message WhatsApp inattendu, même si les dates et la référence sont exactes.
- Vérifiez la réservation directement auprès de l’agence ou de l’hôtel, en utilisant un contact déjà connu et non un canal fourni dans le message suspect.
- Ne communiquez pas de coordonnées bancaires et n’acceptez aucun paiement demandé sous prétexte d’annulation ou de vérification.
- Conservez les messages reçus afin de pouvoir les signaler à l’agence ou à la plateforme de réservation concernée.
Le cas Transcontinents transforme un réflexe ordinaire, celui de confirmer un voyage, en petit test de vigilance. Une vraie référence de réservation prouve que le séjour existe, pas que la personne au bout de la conversation est bien son interlocuteur.