Booking : attention, une simple faute de frappe peut mettre en danger toutes vos données personnelles

Un utilisateur de Booking.com a découvert à ses dépens les conséquences d'une malheureuse faute de frappe. On vous explique tout.

Booking.com est l'un des sites de réservation de séjours les plus prisés, et fatalement les utilisateurs de la plateforme sont régulièrement ciblés par des arnaques. En juillet 2024, nous avons par exemple évoqué dans nos colonnes ces mails de phishing qui reproduisaient parfaitement les pages de Booking.

Quelques semaines auparavant, il y a eu également cette histoire avec des faux messages de Booking envoyés sur WhatsApp pour escroquer les utilisateurs. En bref, lorsque vous réservez vos futures vacances sur la plateforme, il faut se montrer extrêmement prudent.. Et consciencieux.

Comme le rapportent nos confrères du site Ars Technica, un utilisateur a récemment découvert les conséquences d'une malheureuse faute de frappe. On vous explique tout.

Un mystérieux séjour apparaît sur son compte Booking

Cet utilisateur, que l'on appellera Alfie, a reçu un mail de confirmation pour un voyage… Sauf qu'il n'avait rien réservé. Forcément, il pense en premier lieu à un piratage. Connaisseur des bons réflexes à adopter en cas de doute, il ne clique sur aucun lien présent dans le mail et se rend directement sur Booking.com pour vérifier.

Mais une fois sur son compte, il constate avec étonnement qu'un nouveau voyage a bien été réservé ! Etant certain de ne pas avoir été piraté, il contacte l'équipe technique de Booking pour leur faire part du problème. Chez Booking, l'incompréhension règne, l'agent ajoutant “qu'ils n'avaient jamais rien vu de tel depuis de nombreuses années”. Pas très rassurant donc pour Alfie.

Dans la foulée, son interlocuteur lui assure que son cas a été transmis aux équipes de sécurité et qu'elles auront de plus amples informations à lui fournir dans les 48 heures. Malheureusement, la réponse de Booking a été très longue à arriver. Et pendant ce temps, Alfie a constaté l'apparition d'autres dates de réservations sur son compte.

Une simple faute de frappe à l'origine du problème

Plusieurs semaines plus tard, Booking se manifeste enfin : “Après notre enquête, nous avons découvert que le problème était dû à une erreur de saisie d'un client lors du processus de réservation, où il a entré par inadvertance une adresse mail incorrecte. Cette adresse e-mail appartenait cependant à un autre client (ndrl : Alfie donc), ce qui a provoqué l'apparition du lien de réservation dans son compte“, explique un porte-parole de la plateforme.

Comment une telle chose a donc pu survenir ? Il faut savoir que Booking autorise les utilisateurs à réserver des séjours pour d'autres en ajoutant simplement leur adresse mail dans la réservation. Et si une adresse mail ajoutée appartient à un utilisateur déjà détenteur d'un compte sur Booking, le voyage est automatiquement ajouté à son compte.

Au passage, l'invité peut accéder à diverses informations sur l'organisateur comme son identité complète, le moyen de paiement utilisé, la date du séjour, ou encore son adresse mail et postale. Des données que Booking ne partagerait pas autrement.

Un potentiel gros souci pour la confidentialité des utilisateurs

Curieux de savoir qui se cachait derrière les réservations effectuées sur son compte, Alfie a tout simplement fait une demande aux équipes techniques de Booking. Se contentant de voir que les séjours étaient réservés sur son profil, elles n'ont pas hésité à partager de nombreuses données sensibles sur l'utilisateur “squatteur malgré lui”, comme son nom complet, les quatre derniers chiffres de sa carte bleue, son adresse postale complète et son pays de résidence. “Avec ces informations, c'était un jeu d'enfant de le retrouver sur LinkedIn”, avoue Alfie.

Pour Alfie, il est primordial que Booking mette en place une sorte de validation en deux étapes avant de pouvoir ajouter automatiquement des voyages sur le compte d'un utilisateur. “Le risque que cela se passe très mal est assez préoccupant. Permettre l'accès à tous les détails d'une réservation à quelqu'un d'autre via le simple fait de saisir accidentellement une adresse mail incorrecte, sans aucune forme de validation, semble être une très mauvaise idée. Qu'on m'ait fourni intentionnellement tous les détails nécessaires pour en devenir le propriétaire, pour l'annuler ou la modifier, me fait plutôt peur”, alerte-t-il.