Booking, Expedia: près de 10 millions de données clients exposées en ligne

Une faille dans une plateforme de réservation utilisée par Booking, Expedia mais aussi Hotels.com a exposé les données de clients, en raison d'une mauvaise configuration. La faille a depuis été résorbée.

Méconnue du grand public, elle est au coeur de l'industrie hôtelière. La plateforme espagnole Prestige Software est utilisée aussi bien par Hotels.com que par les très populaires sites de réservation d'hôtels et de voyages Booking.com et Expedia, pour automatiser leurs disponibilités respectives. D'après le site Website Planet , une mauvaise configuration de la plateforme aurait indûment exposé des centaines de milliers de clients.

En tout, les fichiers exposés en ligne comprenaient les noms, numéros de carte de crédit, numéros d'identification et détails des réservations en ligne des clients. Le bilan de cette bavure se chiffre à plus de 10 millions de documents clients accessibles en ligne, pour 100.000 numéros de carte bancaire. Plusieurs autres sites, dont Agoda, Amadeus, Hotelbeds, ou encore Omnibees ont recours à Prestige Software.

Aucune preuve d'utilisation des données

La faille a depuis été résorbée par les équipes de Software. Entre temps, aucune preuve d'une utilisation indue des données clients n'a été apportée. Mettre la main sur des informations aussi sensibles peut constituer une aubaine pour des hackers. Bien utilisées, elles peuvent servir des campagnes de phishing (ou hameçonnage), permettre de se connecter à d'autres comptes personnels ou encore, permettre tout simplement de réaliser des fraudes à la carte bancaire.

"Il n'y a eu aucune violation de données de la plateforme de Booking.com liée aux annonces que Prestige Software a faites concernant une violation de son système. Nous encourageons donc à adresser les demandes d'informations directement à Prestige Software", fait savoir Booking dans une réaction officielle.

Prestige Software risque néanmoins gros. Basée en Espagne, elle est soumise aux dispositions du RGPD, le règlement européen sur la protection des données personnelles. Et à ses lourdes sanctions: une amende pouvant aller jusqu'à 4% du chiffre d'affaires mondial est prévue en cas de mauvaise sécurisation avérée de données personnelles.